Claudy Day: una cadena de tres fallos en claude.ai

En marzo de 2026, los investigadores de Oasis Security publicaron una cadena de ataque que llamaron Claudy Day, ensamblada a partir de tres fallos separados en claude.ai y la plataforma claude.com en general, y mostraron cómo los tres se combinan en un único flujo: un anuncio de Google pagado que muestra una dirección de claude.com, una instrucción invisible oculta en un enlace de chat rellenado previamente, y una ruta de salida del sandbox de Claude que termina en la propia cuenta de Anthropic del atacante. La cadena no requería integración, ni herramienta, ni servidor MCP — Oasis afirma que funcionó contra una sesión de claude.ai predeterminada, lista para usar, con el historial de conversaciones y la memoria del usuario como objetivo. Ninguna de las fuentes consultadas para este artículo informa de que la cadena se haya utilizado contra una persona real, y el archivo no registra ningún daño real: Oasis la demostró y la reportó a Anthropic antes de publicarla. El archivo registra la divulgación como un incidente de alta gravedad e indiscutido, fechado en marzo de 2026 con precisión de mes, y se encuentra en el Orca AI Incident Archive junto con el resto de sus entradas de inyección de prompts.

¿Qué hicieron los tres defectos?

El primer fallo era una inyección que no se podía ver. claude.ai permite que un enlace abra un chat nuevo con un prompt ya rellenado, mediante el parámetro de URL claude.ai/new?q=… Oasis descubrió que ciertas etiquetas HTML podían incrustarse en ese parámetro y permanecían invisibles en el cuadro de texto mientras Claude seguía procesándolas en cuanto el usuario pulsaba Enter. La persona que hacía clic leía un prompt; Claude actuaba sobre ese prompt más todo lo que el atacante hubiera ocultado en el marcado, incluidas instrucciones para recopilar datos y exfiltrarlos.

El segundo fallo era la salida. El sandbox de ejecución de código de Claude restringe el acceso de red saliente, pero permitía conexiones a api.anthropic.com. Oasis descubrió que esto por sí solo bastaba para exfiltrar los datos: al incrustar una clave de API perteneciente al atacante dentro de las instrucciones ocultas, los investigadores lograron que Claude buscara material sensible en el historial de conversaciones del usuario, lo escribiera en un archivo y subiera ese archivo a la cuenta de Anthropic del atacante mediante la Files API, donde el atacante podía listarlo y leerlo con tranquilidad. Expert Insights describe la Files API como una función beta de carga de archivos de la plataforma en ese momento. CPO Magazine añade el encuadre que los investigadores usaron para conseguir que el modelo cooperara: la solicitud se presentó como una lección sobre la Files API, la clave del atacante se describió como una clave ficticia que no se esperaba que funcionara, y las conversaciones anteriores de la víctima se ofrecieron como contenido de muestra para la lección. No se necesitó ninguna integración ni ninguna herramienta externa en ningún momento.

El tercer fallo era la vía de entrada. Cualquier URL bajo la ruta claude.com/redirect/ reenviaba al visitante sin validar el destino que se le indicaba, incluidos dominios de terceros. Google Ads valida la URL de un anunciante por el nombre de host, así que un anuncio podía mostrar una dirección de claude.com, superar esa validación y aun así enviar el clic adonde el atacante eligiera —en este caso, a un enlace claude.ai/new?q= que llevaba las instrucciones ocultas. Oasis describió el resultado sin rodeos: «No es un correo de phishing. Es un resultado de búsqueda de Google, indistinguible del real». El mismo análisis señala que la segmentación de anuncios de Google podía restringir la entrega por ubicación, sector y datos demográficos, o llegar a personas concretas mediante Customer Match con direcciones de correo electrónico, convirtiendo un señuelo amplio en uno dirigido.

A qué podría llegar realmente el atacante

En una sesión básica de claude.ai, el material disponible es el historial de la conversación y lo que contenga la memoria de Claude. Oasis enumera lo que eso significa en la práctica: resumir conversaciones anteriores para crear un perfil del usuario, extraer hilos concretos sobre temas determinados, como una fusión inminente o una preocupación médica, o simplemente dejar que el agente decida por sí mismo qué partes parecen sensibles y volcarlas. Los investigadores subrayan que no se trata de un conjunto de datos marginal: es la acumulación de meses de preguntas personales y empresariales escritas en un asistente de propósito general.

El radio de impacto cambia según la configuración. Cuando se habilitan servidores MCP, herramientas o integraciones empresariales, el mismo prompt inyectado puede leer archivos, enviar mensajes, acceder a API y actuar dentro de cualquier servicio conectado, y el material extraído sale por la misma vía. La crítica específica de Oasis tiene que ver con el momento, más que con la mera disponibilidad: se puede acceder a esas herramientas desde la primera interacción, sin ningún paso de confirmación, de modo que un solo prompt inyectado puede usarlas antes de que el usuario haya tenido la oportunidad de notar nada.

Lo que está establecido y lo que solo fue demostrado

Establecido: Oasis Security, proveedor de gestión de acceso agéntico y, por tanto, parte interesada, publicó la investigación y un informe técnico en marzo de 2026; Dark Reading, TechRadar, CPO Magazine y Expert Insights difundieron la misma descripción en tres partes sin contradecirla; las fallas se notificaron a Anthropic a través de su Programa de Divulgación Responsable antes de la publicación; Anthropic corrigió la falla de inyección de prompts, y Expert Insights informa que Anthropic confirmó el parche. No aparece ningún identificador CVE en el artículo de Oasis, en la página de su informe técnico ni en ninguna de las coberturas consultadas para este artículo — la divulgación se realizó a través del programa del proveedor y no mediante un aviso numerado.

No está demostrado: que alguien haya sido atacado. CPO Magazine afirma que los investigadores desarrollaron la cadena de forma independiente y «no señalan ninguna observación de que se haya usado en el mundo real», y ningún relato consultado para este artículo describe a una víctima, una conversación robada ni un recuento de cuentas expuestas. El archivo registra el daño real como falso. El paso de compra de anuncios es la ruta de entrega que los investigadores identificaron y describieron; nada en el registro muestra una campaña que la ejecutara. Anthropic no ha publicado un aviso independiente sobre la cadena, por lo que el estado de la corrección llega a los lectores de segunda mano, a través de Oasis y de los medios que repitieron a Oasis.

Un punto en el que las versiones divergen

CPO Magazine describe el paso de exfiltración de forma ligeramente distinta a Oasis, como la inyección que envía el texto extraído a la Anthropic Messages API para que el atacante pueda leerlo desde sus propios registros de API, en lugar de como un archivo subido mediante la Files API. Dark Reading y Expert Insights siguen la versión de Oasis: un archivo escrito en el sandbox, subido a api.anthropic.com con la clave del atacante y luego listado y leído desde la cuenta del atacante. La diferencia está en en qué parte de la superficie de API de Anthropic aterrizan los datos; las tres versiones coinciden en la propiedad que hizo funcionar la cadena, que es que api.anthropic.com era el único destino saliente que el sandbox permitía.

¿Qué cambió después?

La propia declaración de estado de Oasis es limitada. El problema de inyección de prompts se ha corregido, y los problemas restantes —la redirección abierta y la ruta de Files API— estaban «siendo abordados actualmente» cuando se publicó la investigación, una formulación que se repitió en sus FAQ y en la cobertura posterior. Oasis elogió la capacidad de respuesta de Anthropic y no publicó un cronograma para los puntos pendientes. Las recomendaciones que dieron los investigadores eran igualmente concretas: sanear las entradas de prompt basadas en URL en lugar de confiar en el parámetro, auditar a qué puede acceder un sandbox de código y exigir la aprobación explícita del usuario antes de usar herramientas en un primer prompt.

Para la redirección abierta hay al menos un dato posterior. Una solicitud realizada para este artículo el 4 de noviembre de 2026 a la ruta claude.com/redirect/ con un destino externo no relacionado devolvió una redirección a la página de inicio de claude.ai en lugar de al destino, lo que concuerda con que la falla se haya cerrado, aunque se trata de una sola observación y no de una declaración de Anthropic. El parámetro claude.ai/new?q= no se pudo probar de la misma manera, porque se rechazan las solicitudes automatizadas a esa ruta.

Por qué el registro está fechado en marzo de 2026

La página de Oasis lleva un sello de actualización de mayo de 2026 junto a su fecha de publicación de marzo de 2026, lo que basta para que referencias posteriores sitúen la divulgación en mayo. El archivo fecha el registro en marzo de 2026 con precisión de mes y no afirma ningún día concreto, y tanto Dark Reading como TechRadar tienen sus propias fechas de publicación de marzo de 2026. El mes es la unidad más precisa que compromete el registro, y este artículo se atiene a ella.

El archivo marca la entrada como un hito, y las etiquetas que le asigna —IPI para la inyección, EXFIL para el canal— describen con precisión las dos mitades del hallazgo. Lo que hace que valga la pena conservar el caso es el tercer elemento: el fallo de entrega residía en una parte distinta del ecosistema web de la misma empresa que la del modelo, y fue lo que convirtió una técnica de inyección de prompts en algo que podía dirigirse a una persona concreta mediante un anuncio de búsqueda corriente. Oasis cita su propia divulgación anterior de OpenClaw, publicada en febrero de 2026, como el ejemplo previo del mismo patrón: un agente comprometido por una única entrada manipulada, con controles de identidad que nunca se diseñaron para ello.