Claudy Day: цепочка из трёх уязвимостей в claude.ai

В марте 2026 года исследователи из Oasis Security опубликовали цепочку атак, которую назвали Claudy Day; она была собрана из трех отдельных уязвимостей в claude.ai и более широкой платформе claude.com, и они показали, как эти три объединяются в один конвейер: платная реклама Google, отображающая адрес claude.com, невидимая инструкция, скрытая в предварительно заполненной ссылке на чат, и маршрут выхода из песочницы Claude, ведущий на собственную учетную запись злоумышленника в Anthropic. Для цепочки не требовалось ни интеграции, ни инструмента, ни сервера MCP — Oasis утверждает, что она сработала против стандартной сессии claude.ai «из коробки», а целью были история бесед и память пользователя. Ни в одном источнике, прочитанном для этой статьи, не сообщается, что цепочку применяли против реального человека, и архив не фиксирует реального ущерба: Oasis продемонстрировала ее и сообщила о ней в Anthropic до публикации. Архив классифицирует это раскрытие как инцидент высокой серьезности, не вызывающий споров, датированный мартом 2026 года с точностью до месяца, и оно находится в Orca AI Incident Archive наряду с остальными его записями об инъекциях промптов.

Что сделали три недостатка

Первая уязвимость представляла собой инъекцию, которую вы не могли увидеть. claude.ai позволяет ссылке открыть новый чат с уже заполненным промптом через параметр URL claude.ai/new?q=… Oasis обнаружила, что определённые HTML-теги можно внедрить в этот параметр, и они останутся невидимыми в текстовом поле, но всё равно будут обработаны Claude после того, как пользователь нажмёт Enter. Человек, кликнувший по ссылке, прочитал бы один промпт; Claude действовал бы исходя из этого промпта плюс всего, что злоумышленник спрятал в разметке, включая инструкции собрать данные и переместить их.

Вторым изъяном был выход. Песочница выполнения кода Claude ограничивает исходящий сетевой доступ, но разрешала подключения к api.anthropic.com. Oasis обнаружила, что одного этого было достаточно, чтобы вынести данные: встроив API-ключ, принадлежащий злоумышленнику, в скрытые инструкции, исследователи заставили Claude искать в истории переписки пользователя конфиденциальные материалы, записать их в файл и загрузить этот файл в аккаунт злоумышленника в Anthropic через Files API, где злоумышленник мог перечислить его и читать на досуге. Expert Insights описывает Files API как бета-функцию загрузки файлов платформы на тот момент. CPO Magazine добавляет формулировку, которую исследователи использовали, чтобы побудить модель к сотрудничеству: запрос был представлен как урок о Files API, ключ злоумышленника описывался как фиктивный, который не должен был работать, а более ранние разговоры жертвы предлагались в качестве образцового контента для урока. Ни интеграция, ни внешний инструмент не требовались ни в какой момент.

Третья уязвимость была входной точкой. Любой URL по пути claude.com/redirect/ перенаправлял посетителя без проверки заданной цели, в том числе на сторонние домены. Google Ads проверяет URL рекламодателя по имени хоста, поэтому объявление могло отображать адрес claude.com, проходить эту проверку и при этом доставлять клик куда угодно на выбор атакующего — в данном случае на ссылку claude.ai/new?q= со скрытыми инструкциями. Oasis сформулировал результат прямо: «Это не фишинговое письмо. Это результат поиска Google, неотличимый от настоящего». В том же разборе отмечается, что таргетинг рекламы Google мог сузить показ по местоположению, отрасли и демографии или охватить конкретных лиц через Customer Match по адресам электронной почты, превращая широкую приманку в целевую.

Чего злоумышленник мог реально достичь

В обычной сессии claude.ai доступный материал — это история переписки и всё, что хранится в памяти Claude. Oasis перечисляет, что это означает на практике: обобщение предыдущих бесед для составления профиля пользователя, извлечение конкретных цепочек обсуждений по названным темам, например о предстоящем слиянии или медицинской проблеме, или просто предоставление агенту возможности самому решить, какие части выглядят чувствительными, и выгрузить их. Исследователи подчёркивают, что это не маргинальный набор данных — это накопление месяцев личных и деловых вопросов, введённых в универсального ассистента.

Радиус поражения зависит от конфигурации. Если включены серверы MCP, инструменты или корпоративные интеграции, один и тот же внедрённый промпт может читать файлы, отправлять сообщения, обращаться к API и действовать внутри любого подключённого сервиса, а извлечённые данные уходят тем же путём. Конкретная критика Oasis касается не столько самой доступности, сколько времени: эти инструменты доступны с самого первого взаимодействия, без этапа подтверждения, поэтому один внедрённый промпт может использовать их прежде, чем пользователь успеет что-либо заметить.

Что установлено, а что было лишь продемонстрировано

Установлено: Oasis Security, поставщик решений для управления агентным доступом и, следовательно, заинтересованная сторона, опубликовала исследование и технический отчёт в марте 2026 года; Dark Reading, TechRadar, CPO Magazine и Expert Insights воспроизвели то же описание из трёх частей, не опровергнув его; об уязвимостях сообщили Anthropic через её Responsible Disclosure Program до публикации; Anthropic устранила уязвимость prompt-injection, и Expert Insights сообщает, что Anthropic подтвердила исправление. Идентификатор CVE не встречается ни в материале Oasis, ни на странице её технического отчёта, ни в одном из материалов, прочитанных для этой статьи — раскрытие информации прошло через программу вендора, а не через пронумерованный advisory.

Не установлено, что кто-либо подвергся атаке. CPO Magazine сообщает, что исследователи разработали цепочку независимо и «не отмечают каких-либо наблюдений её использования в реальных условиях», и ни один источник, прочитанный для этого материала, не описывает жертву, украденную переписку или количество раскрытых аккаунтов. В архиве реальный вред записан как ложный. Этап закупки рекламы — это маршрут доставки, который исследователи выявили и описали; ничто в материалах не показывает кампанию, которая его использовала. Anthropic не опубликовал отдельного рекомендательного документа по этой цепочке, поэтому статус исправления доходит до читателей из вторых рук — через Oasis и издания, которые повторили Oasis.

Один момент, в котором версии расходятся

CPO Magazine описывает этап эксфильтрации несколько иначе, чем Oasis: как инъекцию, отправляющую извлечённый текст в Anthropic Messages API, чтобы атакующий мог прочитать его из собственных журналов API, а не как файл, загруженный через Files API. Dark Reading и Expert Insights следуют версии Oasis: файл записывается в песочнице, загружается на api.anthropic.com под ключом атакующего, затем отображается в списке и читается из аккаунта атакующего. Разница в том, в какую часть API-поверхности Anthropic попадают данные; все три источника согласны в свойстве, которое сделало цепочку рабочей, — api.anthropic.com был единственным разрешённым песочницей исходящим назначением.

Что изменилось после этого

Заявление Oasis о собственном статусе носит ограниченный характер. Проблема с prompt-injection была исправлена, а остальные проблемы — открытый редирект и маршрут Files API — «в настоящее время устраняются» на момент публикации исследования; эта формулировка повторялась в его FAQ и в последующих публикациях. Oasis высоко оценила отзывчивость Anthropic и не опубликовала график по оставшимся пунктам. Рекомендации исследователей были соответственно конкретными: очищать промпт-вводы на основе URL, а не доверять параметру, проверять, к чему разрешён доступ песочнице кода, и требовать явного одобрения пользователя перед использованием инструментов при первом промпте.

Что касается открытого перенаправления, имеется как минимум одно более позднее наблюдение. Запрос, сделанный для этой статьи 4 ноября 2026 года к пути claude.com/redirect/ с не связанной с ним внешней целью, вернул перенаправление на главную страницу claude.ai, а не на указанную цель — что согласуется с тем, что уязвимость была устранена, хотя это единичное наблюдение, а не заявление Anthropic. Параметр claude.ai/new?q= не удалось проверить тем же способом, поскольку автоматические запросы к этому пути отклоняются.

Почему запись датирована мартом 2026 года?

Страница Oasis содержит отметку об обновлении от мая 2026 года рядом с датой публикации — март 2026 года, и этого достаточно, чтобы в более поздних ссылках раскрытие информации относили к маю. Архив датирует запись мартом 2026 года с точностью до месяца и не указывает конкретный день, а Dark Reading и TechRadar имеют собственные даты публикации — март 2026 года. Месяц — это самая мелкая единица, которую фиксирует запись, и данная статья придерживается её.

Архив помечает эту запись как веху, а теги, которые он присваивает, — IPI для инъекции, EXFIL для канала, — точно описывают две половины находки. Ценность этого случая придаёт третий элемент: уязвимость в доставке находилась в другой части веб-инфраструктуры той же компании, нежели модель, и именно она превратила технику внедрения промптов в нечто, что можно было нацелить на конкретного человека через обычную поисковую рекламу. Oasis ссылается на собственное более раннее раскрытие OpenClaw, опубликованное в феврале 2026 года, как на предыдущий пример той же схемы — агент скомпрометирован одним манипулированным вводом, а механизмы контроля идентичности для этого никогда не проектировались.