Claudy Day: łańcuch trzech błędów w claude.ai

W marcu 2026 r. badacze z Oasis Security opublikowali łańcuch ataków, który nazwali Claudy Day, złożony z trzech odrębnych błędów w claude.ai i szerszej platformie claude.com, i pokazali, jak te trzy łączą się w jeden potok: płatna reklama Google wyświetlająca adres claude.com, niewidoczna instrukcja ukryta we wstępnie wypełnionym linku do czatu oraz trasa wyjścia z piaskownicy Claude'a, która kończy się na własnym koncie Anthropic atakującego. Łańcuch nie wymagał żadnej integracji, narzędzia ani serwera MCP — według Oasis działał wobec domyślnej, gotowej do użycia sesji claude.ai, a celem były historia rozmów i pamięć użytkownika. Żadne źródło czytane na potrzeby tego artykułu nie podaje, że łańcuch został użyty przeciwko rzeczywistej osobie, a archiwum nie odnotowuje rzeczywistych szkód: Oasis zademonstrowało go i zgłosiło Anthropic przed publikacją. Archiwum klasyfikuje to ujawnienie jako incydent o wysokiej wadze, niekwestionowany, datowany na marzec 2026 r. z dokładnością do miesiąca, i znajduje się on w Orca AI Incident Archive obok pozostałych wpisów dotyczących prompt injection.

Co zrobiły te trzy wady

Pierwsza luka była wstrzyknięciem, którego nie dało się zobaczyć. claude.ai pozwala linkowi otworzyć nowy czat z już wypełnionym promptem za pomocą parametru URL claude.ai/new?q=… Oasis odkrył, że w tym parametrze można osadzić pewne znaczniki HTML, które pozostawały niewidoczne w polu tekstowym, mimo że Claude nadal je przetwarzał po naciśnięciu przez użytkownika Enter. Osoba klikająca przeczytałaby jeden prompt; Claude działałby na podstawie tego promptu oraz wszystkiego, co atakujący ukrył w znacznikach, w tym instrukcji zbierania danych i przenoszenia ich.

Drugą luką było wyjście. Piaskownica Claude'a do wykonywania kodu ogranicza wychodzący dostęp sieciowy, ale zezwalała na połączenia z api.anthropic.com. Oasis odkryło, że samo to wystarczyło, by wynieść dane: umieszczając należący do atakującego klucz API w ukrytych instrukcjach, badacze skłonili Claude'a do przeszukania historii rozmów użytkownika w poszukiwaniu wrażliwych materiałów, zapisania ich do pliku i przesłania tego pliku na konto Anthropic atakującego przez Files API, gdzie atakujący mógł go wylistować i czytać bez pośpiechu. Expert Insights opisuje Files API jako ówczesną funkcję beta platformy do przesyłania plików. CPO Magazine dodaje sposób ujęcia, którego badacze użyli, by skłonić model do współpracy: prośbę przedstawiono jako lekcję o Files API, klucz atakującego opisano jako atrapę, która nie powinna działać, a wcześniejsze rozmowy ofiary zaoferowano jako przykładową treść do lekcji. W żadnym momencie nie była potrzebna żadna integracja ani zewnętrzne narzędzie.

Trzecią wadą była droga wejścia. Każdy adres URL w ścieżce claude.com/redirect/ przekierowywał odwiedzającego bez weryfikacji podanego celu, w tym do domen podmiotów trzecich. Google Ads weryfikuje adres URL reklamodawcy na podstawie nazwy hosta, więc reklama mogła wyświetlać adres claude.com, przejść tę weryfikację, a mimo to dostarczyć kliknięcie tam, gdzie wybrał atakujący — w tym przypadku do linku claude.ai/new?q= zawierającego ukryte instrukcje. Oasis ujęło wynik wprost: „To nie e-mail phishingowy. Wynik wyszukiwania Google, nie do odróżnienia od prawdziwego”. To samo opracowanie zauważa, że targetowanie reklam Google mogło zawęzić dostarczanie według lokalizacji, branży i danych demograficznych albo dotrzeć do konkretnych osób poprzez Customer Match na adresy e-mail, zamieniając szeroko zakrojoną przynętę w ukierunkowaną.

Do czego atakujący mógłby faktycznie dotrzeć

W samej sesji claude.ai dostępny materiał to historia rozmowy i wszystko, co przechowuje pamięć Claude'a. Oasis wymienia, co to oznacza w praktyce: podsumowywanie wcześniejszych rozmów w celu zbudowania profilu użytkownika, wyciąganie konkretnych wątków dotyczących nazwanych tematów, takich jak nadchodząca fuzja lub problem medyczny, albo po prostu pozwalanie agentowi samodzielnie zdecydować, które części wyglądają na wrażliwe, i zrzucanie ich. Naukowcy podkreślają, że nie jest to marginalny zbiór danych — to nagromadzenie miesięcy osobistych i biznesowych pytań wpisywanych do asystenta ogólnego przeznaczenia.

Zasięg skutków zmienia się wraz z konfiguracją. Tam, gdzie włączono serwery MCP, narzędzia lub integracje enterprise, ten sam wstrzyknięty prompt może czytać pliki, wysyłać wiadomości, docierać do API i działać w dowolnej podłączonej usłudze, a wyodrębnione materiały wychodzą tą samą drogą. Konkretny zarzut Oasis dotyczy momentu, a nie samej dostępności: te narzędzia są osiągalne już od pierwszej interakcji, bez etapu potwierdzenia, więc pojedynczy wstrzyknięty prompt może z nich skorzystać, zanim użytkownik zdąży cokolwiek zauważyć.

Co jest ustalone, a co tylko zademonstrowano

Ustalono: Oasis Security, dostawca rozwiązań w zakresie zarządzania dostępem agentowym, a zatem strona zainteresowana, opublikował badanie i raport techniczny w marcu 2026 r.; Dark Reading, TechRadar, CPO Magazine i Expert Insights przedstawiły ten sam trójczęściowy opis, nie zaprzeczając mu; o lukach zgłoszono Anthropic za pośrednictwem jej Responsible Disclosure Program przed publikacją; Anthropic naprawiła lukę związaną z wstrzykiwaniem promptów, a Expert Insights podaje, że Anthropic potwierdziła poprawkę. Identyfikator CVE nie pojawia się w opracowaniu Oasis, na stronie jej raportu technicznego ani w żadnej z publikacji przeczytanych na potrzeby tego artykułu — ujawnienie odbyło się za pośrednictwem programu dostawcy, a nie w drodze numerowanego biuletynu.

Nie ustalono: że ktokolwiek został zaatakowany. CPO Magazine podaje, że badacze niezależnie opracowali ten łańcuch i „nie odnotowują żadnych obserwacji jego wykorzystania w środowisku naturalnym”, a żadna relacja przeczytana na potrzeby tego tekstu nie opisuje ofiary, skradzionej rozmowy ani liczby ujawnionych kont. Archiwum odnotowuje rzeczywiste szkody jako fałszywe. Etap kupowania reklam to droga dostarczania, którą badacze zidentyfikowali i opisali; nic w materiale nie wskazuje na kampanię, która ją wykorzystała. Anthropic nie opublikował odrębnego komunikatu doradczego dotyczącego tego łańcucha, więc status poprawki dociera do czytelników z drugiej ręki — za pośrednictwem Oasis i mediów, które powtórzyły Oasis.

Jeden punkt, w którym relacje się różnią

CPO Magazine opisuje etap eksfiltracji nieco inaczej niż Oasis: jako wstrzyknięcie wysyłające wyodrębniony tekst do Anthropic Messages API, aby atakujący mógł odczytać go z własnych logów API, a nie jako plik przesłany przez Files API. Dark Reading i Expert Insights podążają za wersją Oasis: plik zapisany w piaskownicy, przesłany do api.anthropic.com pod kluczem atakującego, a następnie wylistowany i odczytany z konta atakującego. Różnica dotyczy tego, w której części powierzchni API Anthropic lądują dane; wszystkie trzy relacje zgadzają się co do właściwości, która sprawiła, że łańcuch zadziałał, a mianowicie że api.anthropic.com był jedynym dozwolonym przez piaskownicę miejscem docelowym ruchu wychodzącego.

Co się potem zmieniło?

Własne oświadczenie Oasis o statusie jest ograniczone. Problem wstrzykiwania promptów został naprawiony, a pozostałe problemy — otwarte przekierowanie i trasa Files API — były „obecnie rozwiązywane” w momencie publikacji badania; sformułowanie to powtórzono w FAQ Oasis i w kolejnych relacjach. Oasis pochwaliło responsywność Anthropic i nie opublikowało harmonogramu dla pozostałych punktów. Zalecenia badaczy były odpowiednio konkretne: oczyszczać dane wejściowe promptów oparte na adresach URL, zamiast ufać parametrowi, przeprowadzić audyt tego, do czego piaskownica kodu ma prawo dostępu, oraz wymagać wyraźnej zgody użytkownika przed użyciem narzędzi przy pierwszym prompcie.

W przypadku otwartego przekierowania istnieje co najmniej jeden późniejszy punkt danych. Żądanie wykonane dla tego artykułu 4 listopada 2026 r. do ścieżki claude.com/redirect/ z niepowiązanym zewnętrznym celem zwróciło przekierowanie na stronę główną claude.ai, a nie na cel — co jest spójne z tym, że luka została zamknięta, choć to pojedyncza obserwacja, a nie oświadczenie Anthropic. Parametru claude.ai/new?q= nie można było przetestować w ten sam sposób, ponieważ zautomatyzowane żądania do tej ścieżki są odrzucane.

Dlaczego ten rekord jest datowany na marzec 2026?

Strona Oasis zawiera oznaczenie aktualizacji z maja 2026 r. obok daty publikacji z marca 2026 r., co wystarcza, by w późniejszych odniesieniach ujawnienie umieszczano w maju. Archiwum datuje ten zapis na marzec 2026 r. z dokładnością do miesiąca i nie podaje konkretnego dnia, a zarówno Dark Reading, jak i TechRadar mają własne daty publikacji z marca 2026 r. Miesiąc jest najdokładniejszą jednostką, na jaką pozwala zapis, i ten artykuł się do niej stosuje.

Archiwum oznacza ten wpis jako przełomowy, a przypisane mu tagi — IPI dla iniekcji, EXFIL dla kanału — trafnie opisują dwie połowy tego odkrycia. Tym, co czyni ten przypadek wartym zachowania, jest trzeci element: luka w dostarczaniu tkwiła w innej części infrastruktury internetowej tej samej firmy niż model i to ona sprawiła, że technika iniekcji promptu stała się czymś, co można było wycelować w konkretną osobę za pośrednictwem zwykłej reklamy w wyszukiwarce. Oasis przywołuje własne wcześniejsze ujawnienie OpenClaw, opublikowane w lutym 2026 r., jako poprzedni przykład tego samego wzorca — agenta skompromitowanego przez jedno zmanipulowane dane wejściowe, z mechanizmami kontroli tożsamości, które nigdy nie były projektowane z myślą o nim.