Claudy Day: eine Kette aus drei Schwachstellen in claude.ai

Im März 2026 veröffentlichten Forscher von Oasis Security eine Angriffskette, die sie Claudy Day nannten und die aus drei separaten Schwachstellen in claude.ai und der weiteren claude.com-Plattform zusammengesetzt war; sie zeigten, wie sich die drei zu einer einzigen Pipeline verbinden: eine bezahlte Google-Anzeige, die eine claude.com-Adresse anzeigt, eine unsichtbare Anweisung, die in einem vorausgefüllten Chat-Link verborgen ist, und ein Ausweg aus Claudes Sandbox, der beim eigenen Anthropic-Konto des Angreifers endet. Die Kette erforderte keine Integration, kein Tool und keinen MCP-Server — laut Oasis funktionierte sie gegen eine standardmäßige claude.ai-Sitzung ab Werk, wobei die Gesprächshistorie und das Gedächtnis des Nutzers das Ziel waren. Keine der für diesen Artikel herangezogenen Quellen berichtet, dass die Kette gegen eine reale Person eingesetzt wurde, und das Archiv verzeichnet keinen realen Schaden: Oasis demonstrierte sie und meldete sie vor der Veröffentlichung an Anthropic. Das Archiv führt die Offenlegung als einen unbestrittenen Vorfall mit hohem Schweregrad, datiert auf März 2026 mit Monatsgenauigkeit, und er steht im Orca AI Incident Archive neben den übrigen Prompt-Injection-Einträgen darin.

Was die drei Fehler bewirkt haben

Der erste Schwachpunkt war eine Injection, die man nicht sehen konnte. claude.ai ermöglicht es, dass ein Link einen neuen Chat mit einem bereits vorausgefüllten Prompt öffnet – über den URL-Parameter claude.ai/new?q=… Oasis fand heraus, dass sich bestimmte HTML-Tags in diesen Parameter einbetten ließen und im Textfeld unsichtbar blieben, während Claude sie nach dem Drücken der Eingabetaste durch den Nutzer dennoch verarbeitete. Die Person, die klickt, würde einen Prompt lesen; Claude würde auf diesen Prompt plus alles reagieren, was der Angreifer im Markup versteckt hatte – einschließlich Anweisungen, Daten zu sammeln und weiterzugeben.

Der zweite Fehler war der Ausgang. Claudes Sandbox für Codeausführung beschränkt ausgehenden Netzwerkzugriff, erlaubte jedoch Verbindungen zu api.anthropic.com. Oasis stellte fest, dass dies allein ausreichte, um mit den Daten zu entkommen: Indem die Forscher einen API-Schlüssel des Angreifers in die versteckten Anweisungen einbetteten, brachten sie Claude dazu, den Gesprächsverlauf des Nutzers nach sensiblen Materialien zu durchsuchen, diese in eine Datei zu schreiben und die Datei über die Files API in das Anthropic-Konto des Angreifers hochzuladen, wo der Angreifer sie auflisten und nach Belieben lesen konnte. Expert Insights beschreibt die Files API als eine damalige Beta-Funktion der Plattform zum Hochladen von Dateien. CPO Magazine ergänzt den Rahmen, den die Forscher nutzten, um das Modell zur Kooperation zu bewegen: Die Anfrage wurde als Lektion über die Files API präsentiert, der Schlüssel des Angreifers als Dummy beschrieben, von dem nicht erwartet wurde, dass er funktioniert, und die früheren Gespräche des Opfers als Beispielinhalte für die Lektion angeboten. Zu keinem Zeitpunkt war eine Integration oder ein externes Tool erforderlich.

Der dritte Fehler war der Einstiegsweg. Jede URL unter dem Pfad claude.com/redirect/ leitete den Besucher weiter, ohne das angegebene Ziel zu validieren, einschließlich zu Drittanbieter-Domains. Google Ads validiert die URL eines Werbetreibenden anhand des Hostnamens, sodass eine Anzeige eine claude.com-Adresse anzeigen, diese Validierung bestehen und den Klick dennoch dorthin weiterleiten konnte, wohin der Angreifer wollte – in diesem Fall zu einem claude.ai/new?q=-Link, der die versteckten Anweisungen enthielt. Oasis brachte das Ergebnis klar auf den Punkt: „Keine Phishing-E-Mail. Ein Google-Suchergebnis, nicht vom Original zu unterscheiden.“ Derselbe Bericht merkt an, dass das Anzeigen-Targeting von Google die Auslieferung nach Standort, Branche und Demografie eingrenzen oder über Customer Match anhand von E-Mail-Adressen namentlich bekannte Personen erreichen konnte, wodurch aus einem breiten Köder ein gezielter wurde.

Was der Angreifer tatsächlich erreichen konnte

In einer schlichten claude.ai-Sitzung besteht das verfügbare Material aus dem Gesprächsverlauf und dem, was Claudes Gedächtnis enthält. Oasis führt auf, was das in der Praxis bedeutet: frühere Gespräche zusammenzufassen, um ein Profil des Nutzers zu erstellen, gezielte Stränge zu benannten Themen wie einer bevorstehenden Fusion oder einem medizinischen Anliegen herauszuziehen oder einfach den Agenten selbst entscheiden zu lassen, welche Teile sensibel erscheinen, und diese dann auszugeben. Die Forscher betonen, dass es sich hier nicht um einen marginalen Datensatz handelt – es ist die Anhäufung von Monaten persönlicher und geschäftlicher Fragen, die in einen Allzweckassistenten getippt wurden.

Der Angriffsradius verändert sich je nach Konfiguration. Wo MCP-Server, Tools oder Unternehmensintegrationen aktiviert sind, kann derselbe eingeschleuste Prompt Dateien lesen, Nachrichten senden, APIs erreichen und innerhalb jedes verbundenen Dienstes agieren, und das extrahierte Material verlässt das System über denselben Weg. Oasis' konkrete Kritik betrifft eher den Zeitpunkt als die bloße Verfügbarkeit: Diese Tools sind bereits ab der allerersten Interaktion erreichbar, ohne Bestätigungsschritt, sodass ein einzelner eingeschleuster Prompt sie nutzen kann, bevor der Nutzer überhaupt Gelegenheit hatte, etwas zu bemerken.

Was etabliert ist und was nur demonstriert wurde

Belegt: Oasis Security, ein Anbieter von Agentic Access Management und daher eine interessierte Partei, veröffentlichte die Studie und einen technischen Bericht im März 2026; Dark Reading, TechRadar, CPO Magazine und Expert Insights brachten dieselbe dreiteilige Beschreibung, ohne ihr zu widersprechen; die Schwachstellen wurden vor der Veröffentlichung über dessen Responsible Disclosure Program an Anthropic gemeldet; Anthropic behob die Prompt-Injection-Schwachstelle, und Expert Insights berichtet, dass Anthropic den Patch bestätigt hat. Keine CVE-Kennung findet sich in Oasis' Write-up, auf dessen Seite mit dem technischen Bericht oder in einem der für diesen Artikel gelesenen Berichte — die Offenlegung lief über das Programm des Anbieters statt über eine nummerierte Advisory.

Nicht belegt: dass irgendjemand angegriffen wurde. CPO Magazine gibt an, dass die Forscher die Kette unabhängig entwickelt haben und „keine Beobachtungen ihrer Nutzung in freier Wildbahn vermerken“, und kein für diesen Beitrag gelesener Bericht beschreibt ein Opfer, ein gestohlenes Gespräch oder eine Zahl exponierter Konten. Das Archiv verzeichnet tatsächlichen Schaden als falsch. Der Schritt des Anzeigenkaufs ist der von den Forschern identifizierte und beschriebene Zustellweg; nichts in der Aufzeichnung zeigt eine Kampagne, die ihn ausgeführt hätte. Anthropic hat keine eigenständige Warnmeldung zu der Kette veröffentlicht, sodass der Status der Behebung die Leser aus zweiter Hand erreicht – über Oasis und die Medienangebote, die Oasis wiederholt haben.

Ein Punkt, an dem die Darstellungen voneinander abweichen

CPO Magazine beschreibt den Exfiltrationsschritt etwas anders als Oasis: als die Injektion, die den extrahierten Text an die Anthropic Messages API sendet, sodass der Angreifer ihn aus seinen eigenen API-Logs lesen kann, statt als eine Datei, die über die Files API hochgeladen wird. Dark Reading und Expert Insights folgen der Version von Oasis: eine im Sandbox geschriebene Datei, die unter dem Schlüssel des Angreifers auf api.anthropic.com hochgeladen und dann im Konto des Angreifers aufgelistet und gelesen wird. Der Unterschied besteht darin, in welchem Teil der API-Oberfläche von Anthropic die Daten landen; alle drei Berichte stimmen in der Eigenschaft überein, die die Kette funktionieren ließ, nämlich dass api.anthropic.com das einzige ausgehende Ziel war, das die Sandbox zuließ.

Was hat sich danach geändert?

Die eigene Statusmeldung von Oasis fällt knapp aus. Das Prompt-Injection-Problem wurde behoben, und die übrigen Probleme – die offene Weiterleitung und die Route der Files API – wurden „derzeit bearbeitet“, als die Untersuchung veröffentlicht wurde; eine Formulierung, die sich in den FAQ und in der darauf folgenden Berichterstattung wiederholt. Oasis lobte die Reaktionsfähigkeit von Anthropic und veröffentlichte keinen Zeitplan für die noch offenen Punkte. Die Empfehlungen der Forscher waren entsprechend konkret: URL-basierte Prompt-Eingaben bereinigen, statt dem Parameter zu vertrauen, prüfen, welche Ziele eine Code-Sandbox erreichen darf, und vor der Verwendung von Tools beim ersten Prompt die ausdrückliche Zustimmung des Nutzers einholen.

Für die offene Weiterleitung gibt es mindestens einen späteren Datenpunkt. Eine für diesen Artikel am 4. November 2026 an den Pfad claude.com/redirect/ mit einem nicht damit zusammenhängenden externen Ziel gestellte Anfrage führte zu einer Weiterleitung auf die Startseite von claude.ai statt auf das Ziel – was damit vereinbar ist, dass die Schwachstelle geschlossen wurde, wobei es sich jedoch um eine einzelne Beobachtung und nicht um eine Aussage von Anthropic handelt. Der Parameter claude.ai/new?q= konnte nicht auf dieselbe Weise getestet werden, da automatisierte Anfragen an diesen Pfad abgelehnt werden.

Warum der Datensatz auf März 2026 datiert ist

Die Oasis-Seite trägt neben ihrem Veröffentlichungsdatum März 2026 einen Aktualisierungsstempel Mai 2026, was ausreicht, damit spätere Verweise die Offenlegung in den Mai verlegen. Das Archiv datiert den Eintrag mit Monatsgenauigkeit auf März 2026 und gibt keinen Tag an, und sowohl Dark Reading als auch TechRadar tragen eigene Veröffentlichungsdaten vom März 2026. Der Monat ist die feinste Einheit, auf die sich der Eintrag festlegt, und dieser Artikel hält sich daran.

Das Archiv führt den Eintrag als Meilenstein, und die Tags, die es vergibt — IPI für die Injection, EXFIL für den Kanal — beschreiben die beiden Hälften des Befunds treffend. Was den Fall bewahrenswert macht, ist das dritte Element: Der Auslieferungsfehler saß in einem anderen Teil des Web-Bestands desselben Unternehmens als das Modell, und er war es, der aus einer Prompt-Injection-Technik etwas machte, das sich über eine gewöhnliche Suchanzeige auf eine namentlich bekannte Person richten ließ. Oasis verweist auf die eigene frühere OpenClaw-Offenlegung vom Februar 2026 als das vorherige Beispiel desselben Musters — ein Agent, kompromittiert durch eine einzige manipulierte Eingabe, mit Identitätskontrollen, die nie dafür vorgesehen waren.