Am 14. Oktober 2026 veröffentlichte Noma Labs einen technischen Bericht zu SneakPeek, einer gemeldeten Schwachstelle in der automatischen HTML-Vorschau von Claude Code Desktop. Als korrigiert nennt Noma Claude Desktop 1.30096.1 und spätere Versionen; das Update sei am 17. August 2026 ausgeliefert worden. Noma Labs beschreibt den Fehler und den gemeldeten Fix.
Warum die Dateigröße für die Vorschau wichtig war
Noma zufolge wurden HTML-Dateien unter 256 KB über data:-URLs angezeigt. Für diesen Weg galt eine Content-Security-Policy (CSP), eine Sicherheitsregel, die Skripte blockierte. Dateien über 256 KB legte Claude Code Desktop dagegen in einer temporären Datei ab und lud sie über file://. Laut Noma fehlte auf diesem Pfad der CSP-Schutz; außerdem griff der Anfragefilter beim direkten Anzeigen statischer HTML-Dateien nicht.
Noma beschrieb diese Schwächen als Teil einer Angriffskette: Ein manipuliertes HTML-Dokument konnte JavaScript in der Vorschau ausführen. Der Code lief demnach im Vorschau-Renderer, nicht als Aktion des KI-Agenten.
Wie der erste Patch umgangen wurde
Noma meldete die Schwachstelle am 4. Juli 2026 an Anthropic. Am 24. Juli veröffentlichte Anthropic laut Noma einen ersten Patch. Noma berichtete noch am selben Tag, dass sich die Sperre umgehen ließ: Ein Web Worker – ein separater Ausführungskontext – konnte von einer blob:-URL aus Dateizugriffe starten, die der Patch im Hauptkontext blockiert hatte.
| Datum | Von Noma gemeldeter Schritt |
| 4. Juli 2026 | Noma meldete SneakPeek mit einem Proof of Concept an Anthropic. |
| 9. Juli 2026 | Anthropic stufte die Schwachstelle laut Noma mit CVSS v4.0 und 8.7 („High“) ein. |
| 24. Juli 2026 | Anthropic veröffentlichte laut Noma einen ersten Patch; Noma meldete den Web-Worker-Bypass. |
| 3. August 2026 | Anthropic bestätigte laut Noma, dass der erste Fix unvollständig war, und arbeitete an einer umfassenderen Korrektur. |
| 17. August 2026 | Der Fix für Claude Desktop 1.30096.1 und spätere Versionen wurde laut Noma per automatischem Update ausgeliefert. |
Was Nomas Proof of Concept zeigte
In Nomas Demonstration klonte ein Entwickler ein Repository und bat Claude Code Desktop, eine Zeile in einem Abdeckungsbericht zu ergänzen. Anschließend zeigte die Vorschau die geänderte HTML-Datei an. Laut Noma konnte darin enthaltenes JavaScript lokale Dateien auslesen und Daten an einen entfernten Server senden; für die Skriptausführung in der Vorschau war demnach keine zusätzliche Freigabe erforderlich.
Als mögliche Ziele nannte Noma AWS-Zugangsdaten, GitHub- und npm-Tokens, SSH-Schlüssel, Kubernetes-Zugangsdaten, Docker-Registry-Anmeldedaten und Claude-OAuth-Tokens. Noma beschrieb einen Proof of Concept, keinen Angriff auf reale Nutzer.
