Claudy Day: claude.ai의 세 가지 결함 연쇄

2026년 3월, Oasis Security의 연구원들은 claude.ai와 더 넓은 claude.com 플랫폼의 세 가지 별개 결함으로 구성된, Claudy Day라고 부른 공격 체인을 발표하고, 세 가지가 어떻게 하나의 파이프라인으로 결합되는지 보여 주었습니다: claude.com 주소를 표시하는 유료 Google 광고, 미리 채워진 채팅 링크에 숨겨진 보이지 않는 지시, 그리고 Claude의 샌드박스에서 빠져나와 공격자 자신의 Anthropic 계정에서 끝나는 경로입니다. 이 체인에는 통합도, 도구도, MCP 서버도 필요하지 않았습니다 — Oasis는 기본 설정의, 별도 구성이 필요 없는 claude.ai 세션을 대상으로 작동했으며 사용자의 대화 기록과 메모리를 표적으로 삼았다고 말합니다. 이 기사를 위해 검토한 어떤 출처도 해당 체인이 실제 사람을 대상으로 사용되었다고 보고하지 않으며, 아카이브에는 실제 피해가 기록되어 있지 않습니다: Oasis는 이를 시연했고 공개 전에 Anthropic에 보고했습니다. 아카이브는 이 공개를 2026년 3월로 월 단위 정밀도로 날짜를 기재한 고위험, 이견 없는 사건으로 분류하며, 그것은 Orca AI Incident Archive에서 나머지 프롬프트 인젝션 항목들과 함께 자리합니다.

세 가지 결함이 한 일은 무엇인가요?

첫 번째 결함은 눈에 보이지 않는 주입이었습니다. claude.ai에서는 링크를 통해 claude.ai/new?q=… URL 매개변수를 사용해 프롬프트가 이미 채워진 새 채팅을 열 수 있습니다. Oasis는 특정 HTML 태그를 해당 매개변수에 삽입할 수 있으며, 이런 태그는 텍스트 상자에서는 보이지 않지만 사용자가 Enter를 누르면 Claude가 이를 처리한다는 사실을 발견했습니다. 링크를 클릭한 사람은 하나의 프롬프트를 읽게 되지만, Claude는 그 프롬프트와 공격자가 마크업에 숨겨 둔 내용—데이터를 수집하고 이동시키라는 지시를 포함—에 따라 작동하게 됩니다.

두 번째 결함은 빠져나가는 경로였다. Claude의 코드 실행 샌드박스는 외부 네트워크 접근을 제한하지만 api.anthropic.com으로의 연결은 허용했다. Oasis는 이것만으로도 데이터를 빼내기에 충분하다는 사실을 발견했다. 연구자들은 숨겨진 지시문 안에 공격자 소유의 API 키를 삽입함으로써 Claude가 사용자의 대화 기록에서 민감한 자료를 검색하게 하고, 이를 파일로 작성하게 한 뒤 Files API를 통해 그 파일을 공격자의 Anthropic 계정에 업로드하게 했다. 공격자는 그곳에서 파일 목록을 조회하고 마음대로 읽을 수 있었다. Expert Insights는 Files API를 당시 플랫폼의 파일 업로드 베타 기능이라고 설명한다. CPO Magazine은 연구자들이 모델의 협조를 얻기 위해 사용한 프레이밍을 덧붙인다. 즉 요청은 Files API에 관한 수업으로 제시되었고, 공격자의 키는 작동하지 않을 것으로 예상되는 더미 키로 설명되었으며, 피해자의 이전 대화는 수업용 샘플 콘텐츠로 제공되었다. 어느 시점에도 통합이나 외부 도구는 필요하지 않았다.

세 번째 결함은 침투 경로였다. claude.com/redirect/ 경로 아래의 모든 URL은 주어진 대상의 유효성을 검사하지 않고 방문자를 포워딩했으며, 여기에는 제3자 도메인으로의 포워딩도 포함되었다. Google Ads는 광고주의 URL을 호스트명으로 검증하므로, 광고가 claude.com 주소를 표시하고 그 검증을 통과하면서도 클릭은 공격자가 선택한 곳—이 경우 숨겨진 지시가 담긴 claude.ai/new?q= 링크—으로 전달될 수 있었다. Oasis는 그 결과를 명확히 표현했다: "피싱 이메일이 아니다. 실제와 구별할 수 없는 Google 검색 결과다." 같은 글은 Google의 광고 타기팅이 위치, 업종, 인구통계에 따라 노출을 좁히거나 이메일 주소에 대한 Customer Match를 통해 특정 개인에게 도달할 수 있어, 광범위한 유인을 표적형 유인으로 바꿀 수 있다고 지적한다.

공격자가 실제로 도달할 수 있는 것

기본 claude.ai 세션에서 이용 가능한 자료는 대화 기록과 Claude의 메모리에 담긴 내용뿐이다. Oasis는 그것이 실제로 무엇을 의미하는지 다음과 같이 열거한다. 이전 대화를 요약해 사용자 프로필을 구축하기, 다가오는 합병이나 의료 문제처럼 명시된 주제에 관한 특정 스레드를 끌어오기, 또는 어떤 부분이 민감해 보이는지 에이전트 스스로 판단하게 한 뒤 그 부분들을 그대로 쏟아내기. 연구자들은 이것이 주변적인 데이터 세트가 아니라고 강조한다. 그것은 범용 어시스턴트에 입력된 수개월치 개인적·업무적 질문이 축적된 것이다.

영향 범위는 구성에 따라 달라진다. MCP 서버, 도구 또는 엔터프라이즈 통합이 활성화된 경우, 동일한 주입 프롬프트가 파일을 읽고, 메시지를 보내고, API에 접근하고, 연결된 모든 서비스 내에서 작동할 수 있으며, 추출된 자료는 같은 경로로 유출된다. Oasis의 구체적인 비판은 단순한 가용성이 아니라 타이밍에 관한 것이다. 해당 도구들은 첫 상호작용부터 확인 단계 없이 접근 가능하므로, 사용자가 무엇인가를 알아차릴 기회를 갖기 전에 단일 주입 프롬프트가 이를 사용할 수 있다.

무엇이 확립되었고, 무엇이 단지 시연되었을 뿐인가

확인된 사실: 에이전트 접근 관리 공급업체이자 따라서 이해관계자인 Oasis Security는 2026년 3월에 해당 연구와 기술 보고서를 발표했다. Dark Reading, TechRadar, CPO Magazine, Expert Insights는 이를 반박하지 않고 동일한 세 부분 설명을 보도했다. 해당 취약점들은 발표 전에 Anthropic의 Responsible Disclosure Program을 통해 Anthropic에 보고되었다. Anthropic은 프롬프트 주입 취약점을 수정했으며, Expert Insights는 Anthropic이 패치를 확인했다고 보도한다. Oasis의 글, 기술 보고서 페이지, 또는 이 기사를 위해 검토한 어떤 보도에도 CVE 식별자는 나타나지 않는다. 공개는 번호가 부여된 권고문이 아니라 벤더의 프로그램을 통해 이루어졌다.

확인되지 않음: 누구든 공격을 당했다는 사실. CPO Magazine은 연구자들이 이 체인을 독립적으로 개발했으며 "야생에서 사용된 관찰 사례를 언급하지 않는다"고 밝혔고, 이 글을 위해 검토한 어떤 자료에도 피해자, 도난당한 대화, 노출된 계정 수가 설명되어 있지 않다. 그 아카이브는 실제 피해를 거짓으로 기록한다. 광고 구매 단계는 연구자들이 식별하고 설명한 전달 경로이며, 기록 어디에도 이를 실행한 캠페인이 나타나지 않는다. Anthropic은 이 체인에 관한 독립적인 권고문을 발표하지 않았으므로, 수정 상태는 Oasis와 Oasis를 반복 보도한 매체들을 통해 간접적으로 독자에게 전달된다.

기록이 서로 갈리는 한 지점

CPO Magazine은 유출 단계를 Oasis와 약간 다르게 설명합니다. 즉, 주입이 추출된 텍스트를 Anthropic Messages API로 전송해 공격자가 자신의 API 로그에서 이를 읽을 수 있게 하는 것으로 보며, Files API를 통해 업로드된 파일로 보지는 않습니다. Dark Reading과 Expert Insights는 Oasis의 설명을 따릅니다. 샌드박스에서 파일을 작성하고, 공격자의 키로 api.anthropic.com에 업로드한 다음, 공격자의 계정에서 목록을 조회하고 읽는 방식입니다. 차이는 데이터가 Anthropic의 API 영역 중 어느 부분에 도달하는가에 있습니다. 세 설명 모두 이 체인이 작동하게 만든 속성, 즉 api.anthropic.com이 샌드박스가 허용한 유일한 아웃바운드 목적지였다는 점에는 동의합니다.

그 후 무엇이 달라졌나요?

Oasis가 내놓은 자체 현황 설명은 범위가 좁다. 프롬프트 주입 문제는 수정되었고, 남은 문제인 오픈 리다이렉트와 Files API 경로는 연구가 발표될 당시 "현재 처리 중"이었으며, 이 표현은 FAQ와 이후 보도에서도 반복되었다. Oasis는 Anthropic의 대응력을 칭찬했지만 미해결 항목에 대한 일정은 공개하지 않았다. 연구진이 제시한 권고안은 그에 걸맞게 구체적이었다. 매개변수를 신뢰하지 말고 URL 기반 프롬프트 입력을 정제하고, 코드 샌드박스가 접근할 수 있는 범위를 감사하며, 첫 프롬프트에서 도구를 사용하기 전에 사용자의 명시적 승인을 요구하라는 것이다.

오픈 리다이렉트와 관련해 최소한 하나의 후속 데이터 포인트가 있다. 2026년 11월 4일 이 기사를 위해 관련 없는 외부 대상을 지정해 claude.com/redirect/ 경로로 보낸 요청은 대상이 아니라 claude.ai 홈페이지로 리디렉션되었다. 이는 결함이 해결되었음을 시사하지만, 단일 관찰일 뿐이며 Anthropic의 발표는 아니다. claude.ai/new?q= 매개변수는 해당 경로에 대한 자동 요청이 거부되기 때문에 같은 방식으로 테스트할 수 없었다.

왜 이 기록의 날짜가 2026년 3월인가요?

Oasis 페이지에는 2026년 3월 게시일 옆에 2026년 5월 업데이트 표시가 있어, 이후 참조에서 해당 공개를 5월로 표기하게 만들기에 충분하다. 아카이브는 기록을 월 단위 정밀도로 2026년 3월로 날짜 지정하며 일자를 단정하지 않고, Dark Reading과 TechRadar 모두 자체적으로 2026년 3월 게시일을 표기한다. 월은 기록이 명시하는 가장 세밀한 단위이며, 이 기사도 그에 따른다.

아카이브는 이 항목을 획기적인 사례로 표시하며, 부여된 태그인 주입의 IPI와 채널의 EXFIL은 이 발견의 두 절반을 정확히 설명한다. 이 사례를 보존할 가치가 있게 만드는 것은 세 번째 요소다: 전달 결함은 모델과 같은 회사의 웹 자산 중 다른 부분에 존재했고, 이것이 프롬프트 주입 기법을 평범한 검색 광고를 통해 특정 개인을 겨냥할 수 있는 무언가로 바꾼 것이다. Oasis는 2026년 2월에 발표된 자사의 이전 OpenClaw 공개를 동일한 패턴의 이전 사례로 인용한다 — 하나의 조작된 입력으로 침해된 에이전트와, 그를 위해 설계된 적 없는 신원 통제가 그것이다.