קלודי דיי: שרשרת של שלושה פגמים ב-claude.ai

במרץ 2026, חוקרים ב-Oasis Security פרסמו שרשרת תקיפה שכינו Claudy Day, שהורכבה משלושה ליקויים נפרדים ב-claude.ai ובפלטפורמת claude.com הרחבה יותר, והראו כיצד השלושה מתחברים למסלול אחד: מודעת Google בתשלום שמציגה כתובת claude.com, הוראה בלתי נראית המוסתרת בקישור צ'אט מלא מראש, ונתיב יציאה מארגז החול של Claude שמסתיים בחשבון Anthropic של התוקף עצמו. השרשרת לא דרשה אינטגרציה, כלי או שרת MCP — Oasis אומרת שהיא פעלה נגד סשן claude.ai כברירת מחדל, כפי שהוא, כאשר היסטוריית השיחה והזיכרון של המשתמש הם היעד. אף מקור שנקרא עבור מאמר זה אינו מדווח שהשרשרת שימשה נגד אדם אמיתי, והארכיון אינו מתעד נזק אמיתי: Oasis הדגימה אותה ודיווחה עליה ל-Anthropic לפני הפרסום. הארכיון רושם את הגילוי כאירוע בחומרה גבוהה, שאינו שנוי במחלוקת, המתוארך למרץ 2026 ברמת דיוק של חודש, והוא מופיע בOrca AI Incident Archive לצד שאר רשומות הזרקת הפרומפטים שלו.

מה עשו שלושת הפגמים

הפגם הראשון היה הזרקה שלא ניתן היה לראות. claude.ai מאפשר לקישור לפתוח צ'אט חדש עם הנחיה שכבר מולאה, דרך פרמטר ה-URL ‏claude.ai/new?q=… ‏Oasis מצא שתגי HTML מסוימים יכולים להיות מוטמעים בפרמטר הזה ויישארו בלתי נראים בתיבת הטקסט בעוד שהם עדיין מעובדים על ידי Claude ברגע שהמשתמש ילחץ Enter. האדם שלחץ יקרא הנחיה אחת; Claude יפעל לפי אותה הנחיה בתוספת כל מה שהתוקף הטמין בסימון, כולל הוראות לאסוף נתונים ולהעביר אותם.

הפגם השני היה היציאה. ארגז החול להרצת קוד של Claude מגביל גישה לרשת יוצאת, אך התיר חיבורים אל api.anthropic.com. Oasis מצאה שזה לבדו הספיק כדי לצאת משם עם הנתונים: באמצעות הטמעת מפתח API השייך לתוקף בתוך ההוראות הנסתרות, החוקרים גרמו ל-Claude לחפש בהיסטוריית השיחות של המשתמש חומר רגיש, לכתוב אותו לקובץ ולהעלות את הקובץ לחשבון Anthropic של התוקף דרך Files API, שם התוקף יכול היה להציג אותו ברשימה ולקרוא אותו בנחת. Expert Insights מתאר את Files API כתכונת בטא להעלאת קבצים של הפלטפורמה באותו זמן. CPO Magazine מוסיף את המסגור שבו השתמשו החוקרים כדי לגרום למודל לשתף פעולה: הבקשה הוצגה כשיעור על Files API, המפתח של התוקף תואר כדמה שלא היה אמור לעבוד, והשיחות המוקדמות של הקורבן הוצעו כתוכן לדוגמה עבור השיעור. לא היה צורך בשום אינטגרציה ובשום כלי חיצוני בשום שלב.

הפגם השלישי היה דרך הכניסה. כל כתובת URL תחת הנתיב claude.com/redirect/ העבירה את המבקר הלאה בלי לאמת את היעד שנמסר לה, כולל לדומיינים של צד שלישי. Google Ads מאמתת כתובת URL של מפרסם לפי שם מארח, כך שמודעה יכלה להציג כתובת claude.com, לעבור את האימות הזה, ועדיין להפנות את הלחיצה לכל מקום שהתוקף בחר — במקרה הזה לקישור claude.ai/new?q= הנושא את ההוראות הנסתרות. Oasis ניסחה את התוצאה בבירור: "לא אימייל פישינג. תוצאת חיפוש בגוגל, שאי אפשר להבחין בינה לבין הדבר האמיתי." אותו ניתוח מציין גם ש-Google Ads יכלה לצמצם את המסירה לפי מיקום, תעשייה ודמוגרפיה, או להגיע לאנשים בשמם דרך Customer Match על כתובות אימייל, ובכך להפוך פיתיון רחב לממוקד.

למה שהתוקף יכול היה למעשה להגיע

בשיחה בסיסית ב-claude.ai, החומר הזמין הוא היסטוריית השיחה וכל מה שהזיכרון של Claude מחזיק. Oasis מפרטת מה זה אומר בפועל: סיכום שיחות קודמות כדי לבנות פרופיל של המשתמש, שליפת שרשורים ספציפיים בנושאים מוגדרים כגון מיזוג קרוב או חשש רפואי, או פשוט לאפשר לסוכן להחליט בעצמו אילו חלקים נראים רגישים ולהשליך אותם. החוקרים מדגישים שזה אינו מערך נתונים שולי — זהו הצטברות של חודשים של שאלות אישיות ועסקיות שהוקלדו לעוזר כללי.

רדיוס הפגיעה משתנה בהתאם לתצורה. כאשר שרתי MCP, כלים או אינטגרציות ארגוניות מופעלים, אותה הנחיה מוזרקת יכולה לקרוא קבצים, לשלוח הודעות, להגיע לממשקי API ולפעול בתוך כל שירות מחובר, והחומר שחולץ יוצא באותה דרך. הביקורת הספציפית של Oasis עוסקת בתזמון ולא רק בזמינות: הכלים הללו נגישים מהאינטראקציה הראשונה ממש, ללא שלב אישור, כך שהנחיה מוזרקת אחת יכולה להשתמש בהם לפני שלמשתמש הייתה הזדמנות להבחין במשהו.

מה מבוסס, ומה רק הודגם

נקבע: Oasis Security, ספקית של ניהול גישה סוכנית ולפיכך צד בעל עניין, פרסמה את המחקר ואת הדוח הטכני במרץ 2026; Dark Reading, TechRadar, CPO Magazine ו-Expert Insights הביאו את אותו תיאור תלת-חלקי מבלי לסתור אותו; הפגמים דווחו ל-Anthropic דרך תוכנית הגילוי האחראי שלה לפני הפרסום; Anthropic תיקנה את פגיעות הזרקת הפרומפט, ו-Expert Insights מדווחת כי Anthropic אישרה את התיקון. אין מזהה CVE בפרסום של Oasis, בעמוד הדוח הטכני שלה, או באף אחד מהסיקורים שנקראו עבור מאמר זה — הגילוי עבר דרך התוכנית של הספק ולא דרך התראה ממוספרת.

לא הוכח: שמישהו הותקף. CPO Magazine מציין כי החוקרים פיתחו את השרשרת באופן עצמאי ו"אינם מציינים כל תצפית שבה נעשה בה שימוש בשטח", ושום דיווח שנקרא לצורך כתבה זו אינו מתאר קורבן, שיחה גנובה או מספר חשבונות חשופים. הארכיון מתעד נזק ממשי ככוזב. שלב רכישת הפרסום הוא נתיב המסירה שהחוקרים זיהו ותיארו; אין דבר בתיעוד שמראה קמפיין שהפעיל אותו. Anthropic לא פרסמה ייעוץ עצמאי על השרשרת, ולכן מצב התיקון מגיע לקוראים מכלי שני, דרך Oasis וכלי התקשורת שחזרו על Oasis.

נקודה אחת שבה הדיווחים חלוקים

מגזין CPO מתאר את שלב ההדלפה באופן מעט שונה מ-Oasis: כהזרקה ששולחת את הטקסט המופק ל-Anthropic Messages API, כך שהתוקף יכול לקרוא אותו מיומני ה-API שלו עצמו, ולא כקובץ שהועלה דרך Files API. Dark Reading ו-Expert Insights הולכים אחרי הגרסה של Oasis: קובץ שנכתב בארגז החול, הועלה אל api.anthropic.com תחת המפתח של התוקף, ולאחר מכן מוצג ברשימה ונקרא מחשבון התוקף. ההבדל הוא באיזה חלק ממשטח ה-API של Anthropic הנתונים נוחתים; כל שלושת התיאורים מסכימים על התכונה שאפשרה את השרשרת, והיא ש-api.anthropic.com היה יעד היציאה היחיד שארגז החול התיר.

מה השתנה לאחר מכן

הצהרת המצב של Oasis עצמה מצומצמת. בעיית הזרקת הפרומפט תוקנה, והבעיות הנותרות — הפנייה הפתוחה ונתיב ה-API של Files — היו "בטיפול כרגע" בעת פרסום המחקר, ניסוח שחזר על עצמו ב-FAQ שלה ובסיקור שבא לאחר מכן. Oasis שיבחה את ההיענות של Anthropic ולא פרסמה לוח זמנים לפריטים הפתוחים. ההמלצות שנתנו החוקרים היו קונקרטיות בהתאם: לנקות קלטי פרומפט מבוססי URL במקום לסמוך על הפרמטר, לבחון למה ארגז חול לקוד מורשה להגיע, ולדרוש אישור משתמש מפורש לפני שימוש בכלים בפרומפט הראשון.

עבור ההפניה הפתוחה יש לפחות נקודת נתונים מאוחרת יותר. בקשה שהוגשה עבור מאמר זה ב-4 בנובמבר 2026 לנתיב claude.com/redirect/ עם יעד חיצוני לא קשור החזירה הפניה לדף הבית של claude.ai ולא ליעד — באופן שעולה בקנה אחד עם כך שהפגם נסגר, אף שזו תצפית בודדת ולא הצהרה מטעם Anthropic. לא ניתן היה לבדוק את הפרמטר claude.ai/new?q= באותו אופן, משום שבקשות אוטומטיות לנתיב הזה נדחות.

למה הרשומה מתוארכת למרץ 2026

עמוד Oasis נושא חותמת עדכון ממאי 2026 לצד תאריך הפרסום שלו במרץ 2026, ודי בכך כדי שאיזכורים מאוחרים יותר ימקמו את הגילוי במאי. הארכיון מתארך את הרשומה למרץ 2026 ברמת דיוק חודשית ואינו קובע יום, וגם Dark Reading וגם TechRadar נושאים תאריכי פרסום משלהם במרץ 2026. החודש הוא היחידה העדינה ביותר שהרשומה מתחייבת לה, והמאמר הזה נצמד אליה.

הארכיון מסמן את הרשומה כנקודת ציון, והתגיות שהיא מקצה — IPI להזרקה, EXFIL לערוץ — מתארות נכון את שני החצאים של הממצא. מה שהופך את המקרה לראוי לשימור הוא האלמנט השלישי: פגם המסירה חי בחלק אחר של נכסי האינטרנט של אותה חברה מאשר המודל, והוא זה שהפך טכניקת הזרקת פרומפט למשהו שאפשר לכוון אל אדם בשם דרך מודעת חיפוש רגילה. Oasis מציינת כקודם את חשיפת OpenClaw הקודמת שלה, שפורסמה בפברואר 2026, כדוגמה הקודמת לאותו דפוס — סוכן שנפגע מקלט אחד שעבר מניפולציה, עם בקרות זהות שמעולם לא תוכננו עבורו.