En bref. AIR Security a publié le 9 novembre 2026 « Office Party », une faille dans les skills officielles d'Anthropic qui permettent à Claude de produire des documents Word, PowerPoint et Excel. Sous Linux, quand l'environnement bloque un certain type de socket, un script de ces skills charge une bibliothèque depuis un chemin fixe du dossier temporaire partagé, sans vérifier qui l'a déposée. Un fichier planté à cet endroit s'exécute avec les droits de l'utilisateur. Anthropic a reconnu le problème mais le considère hors de son périmètre de sécurité ; au 5 novembre 2026, le code n'avait pas changé. La réponse côté entreprise : inventorier les skills, les traiter comme des dépendances logicielles et isoler le dossier temporaire des agents.
Ce qui s'est passé
Les chercheurs d'AIR Research Lab (Omri Saxena et Or Nevo) ont publié leur analyse sous le titre Office Party: A Flaw in Anthropic's Official Skills Allows Malicious Code Execution. Dark Reading l'a relayée le 9 novembre 2026, avec des déclarations de Niv Hoffman, cofondateur et directeur technique d'AIR.
Une skill est un module d'instructions et de scripts qu'un agent IA charge pour une tâche précise. Les skills docx, pptx et xlsx d'Anthropic sont celles qui servent aux fonctions documentaires de Claude. Selon AIR, elles sont actives sans configuration sur claude.ai, publiées dans le dépôt officiel anthropics/skills, et installables dans Claude Code depuis la place de marché de skills d'Anthropic sous le nom document-skills.
AIR indique avoir découvert la faille en mai 2026 et l'avoir signalée à Anthropic. Selon le rapport, Anthropic l'a reconnue mais la considère hors de son périmètre de sécurité, puisque le code vulnérable ne s'exécute que dans un bac à sable. Au 5 novembre 2026, le script concerné sur la branche principale du dépôt était inchangé depuis le 17 juillet. Dark Reading précise qu'Anthropic n'avait pas répondu à sa demande de commentaire au moment de la publication.
Comment fonctionne la faille
Pour convertir un document, par exemple rendre un .docx en PDF, les skills lancent LibreOffice via un script d'aide, scripts/office/soffice.py. Selon AIR, les instructions de la skill docx demandent à l'agent de rendre chaque document produit en PDF par ce script, pour en contrôler l'aspect. Le même script est livré dans les skills pptx et xlsx.
LibreOffice utilise en interne des sockets Unix (un mécanisme de communication entre processus d'une même machine), que certains bacs à sable bloquent. Le script contourne cette limite : s'il ne peut pas ouvrir de socket, il charge dans LibreOffice une petite bibliothèque de compatibilité (une shim) via LD_PRELOAD. Ce mécanisme Linux charge une bibliothèque dans un programme avant son démarrage, et le code de cette bibliothèque s'exécute automatiquement.
AIR relève trois choix de conception qui, combinés, créent la faille :
- un chemin fixe : la bibliothèque se trouve toujours à
lo_socket_shim.sodans le dossier temporaire partagé ; - aucune vérification : si un fichier existe déjà à cet endroit, il est utilisé, sans contrôle de son auteur ni de son contenu ;
- un déclenchement large : n'importe quel échec d'ouverture de socket active ce chemin, pas seulement un bac à sable qui les interdit.
Conséquence : toute chose qui s'exécute avec les droits de l'utilisateur et peut écrire dans ce dossier temporaire peut fournir la bibliothèque. AIR cite une autre skill, le script d'installation d'un paquet, une étape antérieure dans un conteneur ou une tâche de CI réutilisés, ou un autre utilisateur quand /tmp est partagé.
AIR a démontré deux voies, dont nous ne décrivons que le principe. Dans la première, la bibliothèque est déposée directement avant une demande de document. Dans la seconde, une autre skill d'apparence ordinaire dépose des fichiers de travail dans /tmp, dont la bibliothèque. Aucune des deux skills ne fait rien qu'un relecteur signalerait ; c'est leur combinaison qui produit l'exécution de code. C'est le point le plus intéressant pour un RSSI : l'analyse isolée de chaque skill ne voit pas le risque.
Qui est concerné
Selon AIR et Dark Reading, la faille ne touche que Linux, et seulement là où quelque chose empêche l'agent de créer un socket Unix :
- un profil seccomp de conteneur (filtre des appels système) ;
- une unité systemd durcie ;
- le bac à sable de Claude Code lui-même.
macOS n'est pas concerné, car la bibliothèque n'y est pas chargée via LD_PRELOAD.
Sont donc concernés en priorité : les développeurs qui utilisent Claude Code sous Linux avec les document-skills installées, les équipes qui font tourner des agents dans des conteneurs ou des pipelines de CI réutilisés, et les machines où plusieurs utilisateurs partagent /tmp.
Le désaccord entre AIR et Anthropic porte sur la portée du bac à sable. Pour Anthropic, le code vulnérable s'exécute dans un bac à sable. Pour Niv Hoffman, cité par Dark Reading, le code de l'attaquant s'y exécute alors avec les droits de l'utilisateur, là où se trouvent déjà ses fichiers et son travail. Les deux affirmations peuvent être vraies en même temps : ce qui compte pour vous, c'est ce que votre bac à sable laisse réellement accessible.
Comment s'en protéger
AIR recommande trois choses : savoir exactement quelles skills et extensions sont installées sur les agents de l'organisation, relire même les skills officielles comme n'importe quel code, et mettre à jour l'ensemble dès qu'une vulnérabilité est publiée. Les mesures suivantes déclinent ces principes. Celles qui ne viennent pas de la source sont présentées comme des bonnes pratiques.
1. Tenir un inventaire des skills. Recensez, poste par poste et environnement par environnement, les skills et extensions installées sur les agents, avec leur source et leur version. Hoffman note que les entreprises n'ont souvent ni cette visibilité, ni moyen rapide de retirer ou corriger une skill vulnérable. Vérification : savez-vous dire, aujourd'hui, combien de postes Linux ont les document-skills installées ?
2. Traiter les skills comme des dépendances. Une skill embarque du code exécutable. Elle mérite la même revue qu'une bibliothèque tierce : qui la publie, quel code elle exécute, quels fichiers elle lit et écrit. AIR insiste : le nom d'un grand éditeur sur une skill ne la rend pas sûre.
3. Isoler le dossier temporaire des agents (bonne pratique). La faille repose sur un dossier temporaire partagé où d'autres processus peuvent écrire. Donner à chaque session d'agent un dossier temporaire privé, et à chaque conteneur ou tâche de CI un système de fichiers neuf, réduit les voies de dépôt décrites par AIR. Cela ne protège pas d'un composant malveillant qui s'exécute dans la même session.
4. Ne pas réutiliser les environnements d'exécution (bonne pratique). AIR cite explicitement l'étape antérieure d'un conteneur ou d'une tâche de CI réutilisés. Des exécuteurs éphémères suppriment ce chemin.
5. Détecter (bonne pratique). La présence d'un fichier lo_socket_shim.so dans le dossier temporaire d'une machine où ce mécanisme n'a pas de raison d'être utilisé mérite une vérification. Une surveillance d'intégrité des fichiers sur ce chemin, ou une alerte sur le chargement d'une bibliothèque via LD_PRELOAD par LibreOffice lancé depuis un agent, sont des pistes à adapter à votre outil de détection.
6. Limiter les droits de l'utilisateur qui fait tourner l'agent. Le code de l'attaquant s'exécute avec ces droits. Moins le compte a d'accès (clés, dépôts, réseau), moins l'exécution coûte. C'est la même logique que pour toute exécution de code par un agent.
Ce que l'épisode dit des skills
Office Party n'est pas une attaque sophistiquée. C'est une erreur classique, un programme de confiance qui exécute ce qu'il trouve dans un dossier partagé, logée dans un composant que presque personne ne pense à auditer. L'écosystème des skills reproduit l'histoire des gestionnaires de paquets : composants installés sans revue, combinaisons non analysées, absence d'inventaire. Les contrôles qui ont fini par s'imposer pour les paquets (inventaire, revue, mises à jour suivies, environnements éphémères) s'appliquent ici sans adaptation majeure.
FAQ
Qu'est-ce que la faille Office Party ?
Une faille décrite par AIR Security dans les skills docx, pptx et xlsx d'Anthropic : sous Linux, quand les sockets Unix sont bloqués, un script charge une bibliothèque depuis un chemin fixe du dossier temporaire sans vérifier son origine, ce qui permet d'exécuter du code avec les droits de l'utilisateur.
Mon Mac est-il concerné ?
Non selon AIR : macOS ne charge pas la bibliothèque via LD_PRELOAD.
Anthropic a-t-il corrigé Office Party ?
Au 5 novembre 2026, selon AIR, le script était inchangé. Anthropic considère le problème hors de son périmètre de sécurité car le code s'exécute dans un bac à sable.
Faut-il désinstaller les document-skills ?
La source ne le recommande pas. Elle recommande l'inventaire, la revue et la mise à jour. Sur les postes et environnements Linux où les sockets Unix sont bloqués, retirer les skills documentaires inutiles ou isoler leur dossier temporaire est une décision de bon sens à prendre selon l'usage.
Sources
- AIR Security, Office Party: A Flaw in Anthropic's Official Skills Allows Malicious Code Execution : https://www.air.security/blog-posts/office-party
- Dark Reading, Elizabeth Montalbano, Attackers Crash Claude's 'Office Party' Flaw to Run Malicious Code on Linux, 9 novembre 2026 : https://www.darkreading.com/endpoint-security/attackers-claude-office-party-flaw-malicious-code-linux
Pour inventorier les skills et extensions de vos agents et en revoir les droits, WeeSec propose un audit de sécurité IA.