Claudy Day: una catena di tre difetti in claude.ai

A marzo 2026, i ricercatori di Oasis Security hanno pubblicato una catena di attacco che hanno chiamato Claudy Day, composta da tre distinte vulnerabilità in claude.ai e nella più ampia piattaforma claude.com, e hanno mostrato come le tre si combinino in un'unica pipeline: un annuncio Google a pagamento che mostra un indirizzo claude.com, un'istruzione invisibile nascosta in un link di chat precompilato e una via d'uscita dalla sandbox di Claude che termina nell'account Anthropic dell'attaccante stesso. La catena non richiedeva alcuna integrazione, alcuno strumento e alcun server MCP — Oasis afferma che funzionava contro una sessione claude.ai predefinita, out-of-the-box, con la cronologia delle conversazioni e la memoria dell'utente come obiettivo. Nessuna fonte consultata per questo articolo riporta che la catena sia stata usata contro una persona reale, e l'archivio non registra alcun danno reale: Oasis l'ha dimostrata e segnalata ad Anthropic prima della pubblicazione. L'archivio archivia la divulgazione come un incidente ad alta gravità e non contestato, datato marzo 2026 con precisione mensile, e si trova nel Orca AI Incident Archive insieme al resto delle sue voci di prompt injection.

Che cosa hanno fatto i tre difetti

La prima falla era un'iniezione che non si poteva vedere. claude.ai consente a un link di aprire una nuova chat con un prompt già compilato, tramite il parametro URL claude.ai/new?q=… Oasis ha scoperto che alcuni tag HTML potevano essere incorporati in quel parametro e sarebbero rimasti invisibili nella casella di testo pur venendo comunque elaborati da Claude una volta che l'utente avesse premuto Invio. La persona che faceva clic avrebbe letto un prompt; Claude avrebbe agito su quel prompt più qualunque cosa l'attaccante avesse nascosto nel markup, incluse istruzioni per raccogliere dati e spostarli.

Il secondo difetto era l'uscita. La sandbox di esecuzione del codice di Claude limita l'accesso di rete in uscita, ma consentiva le connessioni a api.anthropic.com. Oasis ha scoperto che questo da solo bastava per portare via i dati: incorporando una chiave API appartenente all'attaccante all'interno delle istruzioni nascoste, i ricercatori hanno indotto Claude a cercare nella cronologia delle conversazioni dell'utente materiale sensibile, a scriverlo in un file e a caricare quel file sull'account Anthropic dell'attaccante tramite la Files API, dove l'attaccante poteva elencarlo e leggerlo con calma. Expert Insights descrive la Files API come una funzionalità beta di caricamento file della piattaforma all'epoca. CPO Magazine aggiunge l'inquadramento usato dai ricercatori per ottenere la collaborazione del modello: la richiesta veniva presentata come una lezione sulla Files API, la chiave dell'attaccante era descritta come una chiave fittizia che non ci si aspettava funzionasse, e le conversazioni precedenti della vittima venivano offerte come contenuto di esempio per la lezione. Non è stata necessaria alcuna integrazione né alcuno strumento esterno in nessun momento.

Il terzo difetto era la via d’accesso. Qualsiasi URL sotto il percorso claude.com/redirect/ inoltrava il visitatore senza convalidare la destinazione fornita, anche verso domini di terze parti. Google Ads convalida l’URL di un inserzionista in base al nome host, così un annuncio poteva mostrare un indirizzo claude.com, superare quella convalida e consegnare comunque il clic ovunque scegliesse l’attaccante — in questo caso a un link claude.ai/new?q= contenente le istruzioni nascoste. Oasis ha riassunto il risultato senza giri di parole: "Non un’email di phishing. Un risultato di ricerca Google, indistinguibile da quello vero." Lo stesso articolo osserva che il targeting degli annunci di Google poteva restringere la consegna per località, settore e dati demografici, oppure raggiungere singole persone tramite Customer Match sugli indirizzi email, trasformando un’esca ampia in una mirata.

A cosa l'attaccante potrebbe effettivamente accedere

In una sessione claude.ai di base, il materiale disponibile è la cronologia della conversazione e tutto ciò che la memoria di Claude contiene. Oasis elenca che cosa significa in pratica: riassumere conversazioni precedenti per costruire un profilo dell'utente, estrarre thread specifici su argomenti denominati, come una fusione imminente o una preoccupazione medica, oppure semplicemente lasciare che l'agente decida da solo quali parti sembrano sensibili e le riversi fuori. I ricercatori sottolineano che non si tratta di un set di dati marginale: è l'accumulo di mesi di domande personali e professionali digitate in un assistente generico.

Il raggio d'impatto cambia in base alla configurazione. Dove sono abilitati server MCP, strumenti o integrazioni aziendali, lo stesso prompt iniettato può leggere file, inviare messaggi, raggiungere API e agire all'interno di qualsiasi servizio connesso, e il materiale estratto esce dalla stessa via. La critica specifica di Oasis riguarda i tempi più che la mera disponibilità: a quegli strumenti si può accedere fin dalla primissima interazione, senza alcuna fase di conferma, così un singolo prompt iniettato può usarli prima che l'utente abbia avuto modo di accorgersi di qualcosa.

Che cosa è stabilito e che cosa è stato solo dimostrato

Accertato: Oasis Security, fornitore di gestione degli accessi agentici e quindi parte interessata, ha pubblicato la ricerca e un rapporto tecnico a marzo 2026; Dark Reading, TechRadar, CPO Magazine ed Expert Insights hanno riportato la stessa descrizione in tre parti senza contraddirla; le vulnerabilità sono state segnalate ad Anthropic tramite il suo Responsible Disclosure Program prima della pubblicazione; Anthropic ha corretto la vulnerabilità di prompt injection, ed Expert Insights riferisce che Anthropic ha confermato la patch. Nessun identificatore CVE compare nel resoconto di Oasis, nella pagina del suo rapporto tecnico o in uno qualsiasi degli articoli consultati per questo articolo — la divulgazione è avvenuta tramite il programma del fornitore anziché mediante un avviso numerato.

Non è accertato che qualcuno sia stato attaccato. CPO Magazine afferma che i ricercatori hanno sviluppato la catena in modo indipendente e «non segnalano alcuna osservazione del suo utilizzo in natura», e nessun resoconto letto per questo articolo descrive una vittima, una conversazione rubata o un conteggio di account esposti. L’archivio registra come falso un danno reale. La fase di acquisto di annunci pubblicitari è la via di distribuzione che i ricercatori hanno identificato e descritto; nulla nella documentazione mostra una campagna che l’abbia eseguita. Anthropic non ha pubblicato un avviso autonomo sulla catena, quindi lo stato della correzione arriva ai lettori di seconda mano, tramite Oasis e le testate che hanno ripetuto Oasis.

Un punto in cui i resoconti divergono

CPO Magazine descrive la fase di esfiltrazione in modo leggermente diverso da Oasis: l'iniezione invia il testo estratto all'API Messages di Anthropic, così l'attaccante può leggerlo dai propri log API, anziché come un file caricato tramite l'API Files. Dark Reading ed Expert Insights seguono la versione di Oasis: un file scritto nella sandbox, caricato su api.anthropic.com con la chiave dell'attaccante, quindi elencato e letto dall'account dell'attaccante. La differenza riguarda quale parte della superficie API di Anthropic raggiungono i dati; tutte e tre le fonti concordano sulla proprietà che ha reso possibile la catena, ovvero che api.anthropic.com era l'unica destinazione in uscita consentita dalla sandbox.

Cosa è cambiato in seguito

La dichiarazione sullo stato di Oasis è circoscritta. Il problema del prompt-injection è stato risolto, e i problemi rimanenti — l'open redirect e la rotta Files API — erano "in fase di risoluzione" al momento della pubblicazione della ricerca, una formulazione ripetuta nelle sue FAQ e nella copertura mediatica successiva. Oasis ha elogiato la reattività di Anthropic e non ha pubblicato una tempistica per i punti in sospeso. Le raccomandazioni fornite dai ricercatori erano corrispondentemente concrete: sanificare gli input dei prompt basati su URL anziché fidarsi del parametro, verificare a cosa è consentito accedere a una sandbox di codice e richiedere l'approvazione esplicita dell'utente prima che gli strumenti vengano usati su un primo prompt.

Per l'open redirect c'è almeno un dato successivo. Una richiesta effettuata per questo articolo il 4 novembre 2026 al percorso claude.com/redirect/ con una destinazione esterna non correlata ha restituito un reindirizzamento alla pagina iniziale di claude.ai anziché alla destinazione — coerente con la chiusura della falla, sebbene si tratti di una singola osservazione e non di una dichiarazione di Anthropic. Il parametro claude.ai/new?q= non è stato testabile allo stesso modo, perché le richieste automatizzate a quel percorso vengono rifiutate.

Perché il record è datato marzo 2026

La pagina di Oasis riporta un timbro di aggiornamento di maggio 2026 accanto alla sua data di pubblicazione di marzo 2026, il che basta a far collocare la divulgazione a maggio dai riferimenti successivi. L'archivio data il record a marzo 2026 con precisione mensile e non indica alcun giorno, e sia Dark Reading sia TechRadar riportano date di pubblicazione proprie di marzo 2026. Il mese è l'unità più fine a cui il record si attiene, e questo articolo la rispetta.

L'archivio contrassegna la voce come pietra miliare, e i tag che le assegna — IPI per l'injection, EXFIL per il canale — descrivono accuratamente le due metà della scoperta. Ciò che rende il caso degno di essere conservato è il terzo elemento: il difetto di delivery risiedeva in una parte diversa della stessa proprietà web dell'azienda rispetto al modello, ed è ciò che ha trasformato una tecnica di prompt injection in qualcosa che poteva essere mirato a una persona specifica tramite un normale annuncio di ricerca. Oasis cita la propria precedente divulgazione di OpenClaw, pubblicata a febbraio 2026, come esempio precedente dello stesso schema — un agente compromesso da un unico input manipolato, con controlli di identità mai progettati per questo.