Zero-click RCE через Google Calendar в Claude Desktop
Исследователи LayerX нашли критическую уязвимость (CVSS 10/10) в Claude Desktop Extensions. Расширения DXT работают без песочницы, с полными правами в системе.
Схема атаки: вам приходит приглашение в Google Calendar со скрытыми командами в описании. Вы просите Claude «проверь календарь и разберись» — он автономно выполняет вредоносный код. Без подтверждений, без предупреждений.
Anthropic в курсе, но фиксить отказались — считают, что это зона ответственности пользователя.
Если пользуетесь MCP-расширениями на рабочей машине — отключайте или запускайте в виртуалке.
