¡Se cuestiona la versión de escritorio de Claude como "software espía"! Cambió la configuración de acceso sin consentimiento, lo que podría violar la ley de la Unión Europea

El investigador acusa a la versión de escritorio de Claude de haber instalado perfiles en múltiples navegadores sin consentimiento, generando controversia sobre “software espía” y preocupaciones por violaciones a las leyes de privacidad de la Unión Europea. La opinión pública está dividida, y expertos llaman a las autoridades a aumentar la transparencia para proteger la seguridad cibernética.

El investigador de seguridad afirma que la versión de escritorio de Claude es un “software espía”

¿Has instalado alguna vez la versión de escritorio de Claude? El investigador de seguridad Alexander Hanff publicó recientemente que la aplicación de escritorio de Claude, sin el consentimiento del usuario, instala silenciosamente perfiles de configuración para el procesamiento nativo de mensajes en navegadores en la computadora.

Hanff encontró al revisar una Mac que la aplicación escribía perfiles específicos en las carpetas de hasta 7 navegadores basados en Chromium, como Brave, Google Chrome, Edge, Arc, Vivaldi y Opera, incluyendo operaciones que incluso abarcaban navegadores que aún no estaban instalados.

Señaló que estas operaciones estaban configuradas para ser ocultas por defecto, sin mecanismos de consentimiento del usuario y difíciles de eliminar. La aplicación no solo preautoriza identificadores de extensiones de navegador no instaladas, sino que además el nombre de los archivos no aclara claramente el alcance de la autorización, y preautoriza archivos ejecutables nativos para navegadores que aún no existen.

Si se activa la extensión, el ejecutable auxiliar puede leer el estado de inicio de sesión del navegador, contenido web, rellenar formularios automáticamente y capturar pantallas.

Fuente: artículo de Alexander Hanff. El investigador acusa a la versión de escritorio de Claude de ser “software espía”

Hanff señala que, según datos de seguridad propios de Anthropic, la extensión de Chrome de Claude, sin medidas de protección, enfrenta una tasa de éxito del 23.6% en ataques de inyección de提示, y con medidas de protección existentes, la tasa baja al 11.2%.

En el caso de que un puente preinstalado en la laptop del usuario sea utilizado, un ataque de inyección de提示 exitoso contra la extensión proporcionaría una vía de intrusión, permitiendo que mediante la extensión y el puente, se active un ejecutable auxiliar que opera fuera del sandbox del navegador con permisos del usuario.

Acusa que el comportamiento de la versión de escritorio de Claude es similar a un “modo oscuro” (diseño fraudulento) y “software espía”, operaciones que cruzan límites de confianza y violan gravemente la privacidad del usuario.

¿Podría violar la ley en la UE?

Hanff y Noah M. Kenney, fundador de la consultora digital Digital 520, también señalaron que la versión de escritorio de Claude podría infringir el artículo 5, apartado 3, de la Directiva de Privacidad Electrónica de la UE, que exige a los proveedores de servicios ofrecer información clara y obtener el consentimiento del usuario.

Hanff opina que, dejando de lado los aspectos legales, una empresa que se presenta como defensora de la seguridad y la privacidad, y que lanza herramientas que parecen contradecir esa postura, causaría un daño reputacional enorme y perdería la confianza de los usuarios.

No obstante, Kenney mantiene una postura reservada respecto al término “software espía” criticado por Hanff, señalando que la aplicación no roba datos activamente, pero coincide en que los reguladores europeos interpretan con mucha rigurosidad las exenciones necesarias, y que instalar funciones integradas en otras aplicaciones sin consentimiento explícito conlleva un alto riesgo de sanciones regulatorias.

¿Es la versión de escritorio de Claude un software espía? Opiniones divididas

El foro de ingenieros Hacker News tiene opiniones divididas sobre el artículo: algunos ingenieros confirmaron, tras pruebas, que hay instalaciones no autorizadas, y están molestos porque Claude modifica configuraciones de otros programas independientes, lo que consideran una violación de la confianza básica entre softwares.

Otros usuarios opinan que esto es simplemente el funcionamiento estándar del procesamiento nativo de mensajes, y que, sin evidencia concreta de que el programa esté filtrando datos activamente, llamarlo software espía parece una exageración.

El exjefe de tecnología de Apple, Bogdan Grigorescu, también en LinkedIn, recomienda que los usuarios ejecuten estas herramientas generativas de IA en máquinas virtuales o dispositivos dedicados, y eviten instalarlas en sus computadoras principales donde manejan finanzas o información confidencial.

El experto en seguridad Jason Packer señala que la práctica de Anthropic de preautorizar identificadores de extensiones que aún no están en la tienda de aplicaciones es un ejemplo extremadamente negativo en la práctica de seguridad en línea.

Anthropic no ha respondido aún, y la cuestión ética de Claude está en la cuerda floja

Malwarebytes, especializada en herramientas antivirus para malware en Mac, opina que el procesamiento nativo de mensajes es un mecanismo estándar y legal en Chromium, pero que la versión de escritorio de Claude, al escribir perfiles en varias rutas de navegador sin informar claramente a los usuarios, aumenta sin duda la superficie de ataque del equipo.

Malwarebytes evalúa que, dado que Claude requiere extensiones específicas para funcionar correctamente, calificarlo directamente como software espía no es justo. Sin embargo, Anthropic podría implementar una forma más transparente, informando claramente a los usuarios sobre los cambios en el sistema y permitiéndoles evaluar los riesgos antes de aceptar la instalación.

Hasta el momento de la publicación de este informe, Anthropic no ha emitido ninguna declaración oficial. Los medios de comunicación como The Register y Malwarebytes han solicitado comentarios a la compañía, pero aún no han recibido respuesta.