Claude Cowork 是 Anthropic 专为职场人士设计的自动化工具，它在隔离环境中运行 Claude Code，以协助用户开发工具和处理数据等任务。在 Windows 版的 Claude Desktop 应用中，Claude Cowork 依托 Hyper-V 隔离的 Ubuntu 虚拟机进行工作，旨在减少潜在的安全风险。

Armadin 指出，问题根源在于 Windows 本地服务 CoworkVMService。该服务负责接收 Claude Desktop 发出的指令，并将其转发至虚拟机内部执行。安全研究人员利用 DLL 侧载技术，诱使经过 Anthropic 数字签名的 claude.exe 文件加载恶意 DLL，从而使得恶意代码在合法进程中运行，成功规避了 CoworkVMService 对调用程序身份的验证。

研究表明，某些执行参数能够直接修改虚拟机内部的安全设置。其中一个参数允许指令以 Linux 系统现有用户的身份执行，研究人员利用这一点指定 root 用户，从而在虚拟机中获得最高权限。另一个参数则能够覆盖单次任务允许访问的域名白名单，进而打破原有的外部网络访问限制。

研究人员表示，通过结合这两项操作，攻击者在获得虚拟机 root 权限后，便能访问同一虚拟机内的运行进程及工作会话数据，并绕过网络访问限制，将这些信息发送至攻击者控制的外部服务器。

Anthropic 回应称，此攻击链的前提是攻击者已具备 Windows 主机本地代码执行能力，因此不将其视为安全漏洞。然而，Armadin 认为相关功能是 Claude Desktop 本身的缺陷。因此，他建议企业如不需要 Claude Cowork 功能，可直接卸载 Claude Desktop；若必须使用，则应限制 Claude Desktop 的运行用户，并密切关注 claude.exe 是否从非系统目录加载可疑 DLL，以降低遭受相关攻击的可能性。