Claudy Day: en kedja av tre brister i claude.ai

I mars 2026 publicerade forskare på Oasis Security en attackkedja som de kallade Claudy Day, sammansatt av tre separata brister i claude.ai och den bredare claude.com-plattformen, och visade hur de tre kombineras till en enda pipeline: en betald Google-annons som visar en claude.com-adress, en osynlig instruktion gömd i en förifylld chattlänk och en väg ut ur Claudes sandlåda som slutar vid angriparens eget Anthropic-konto. Kedjan krävde ingen integration, inget verktyg och ingen MCP-server – Oasis säger att den fungerade mot en standardmässig claude.ai-session direkt ur lådan, med användarens konversationshistorik och minne som mål. Ingen källa som lästs för den här artikeln rapporterar att kedjan använts mot en verklig person, och arkivet noterar ingen verklig skada: Oasis demonstrerade den och rapporterade den till Anthropic före publiceringen. Arkivet registrerar avslöjandet som en obestridd incident med hög allvarlighetsgrad, daterad till mars 2026 med månadsprecision, och den finns i Orca AI Incident Archive tillsammans med resten av dess poster för prompt-injektion.

Vad de tre bristerna gjorde

Den första bristen var en injektion som du inte kunde se. claude.ai låter en länk öppna en ny chatt med en prompt redan ifylld, via URL-parametern claude.ai/new?q=… Oasis upptäckte att vissa HTML-taggar kunde bäddas in i den parametern och förbli osynliga i textrutan medan de fortfarande bearbetades av Claude när användaren tryckte Enter. Personen som klickade skulle läsa en prompt; Claude skulle agera på den prompten plus allt angriparen hade gömt i markupen, inklusive instruktioner för att samla in data och flytta den.

Den andra bristen var utgången. Claudes sandlåda för kodkörning begränsar utgående nätverksåtkomst, men den tillät anslutningar till api.anthropic.com. Oasis upptäckte att detta ensamt räckte för att komma ut med data: genom att bädda in en API-nyckel som tillhörde angriparen i de dolda instruktionerna fick forskarna Claude att söka igenom användarens konversationshistorik efter känsligt material, skriva det till en fil och ladda upp filen till angriparens Anthropic-konto via Files API, där angriparen kunde lista den och läsa den i lugn och ro. Expert Insights beskriver Files API som en betafunktion för filuppladdning i plattformen vid den tiden. CPO Magazine tillägger den inramning som forskarna använde för att få modellen att samarbeta: begäran presenterades som en lektion om Files API, angriparens nyckel beskrevs som en attrapp som inte förväntades fungera, och offrets tidigare konversationer erbjöds som exempelinnehåll för lektionen. Ingen integration och inget externt verktyg behövdes vid något tillfälle.

Det tredje felet var vägen in. Alla URL:er under sökvägen claude.com/redirect/ vidarebefordrade besökaren utan att validera målet de angavs för, inklusive till tredjepartsdomäner. Google Ads validerar en annonsörs URL utifrån värdnamn, så en annons kunde visa en claude.com-adress, klara den valideringen och ändå leverera klicket vart angriparen ville – i det här fallet till en claude.ai/new?q=-länk som bar de dolda instruktionerna. Oasis uttryckte resultatet rakt ut: "Inte ett nätfiskemejl. En Google-sökträff, omöjlig att skilja från det äkta." Samma rapport noterar att Googles annonsinriktning kunde begränsa leveransen efter plats, bransch och demografi, eller nå namngivna individer via Customer Match på e-postadresser, vilket förvandlade ett brett lockbete till ett riktat.

Vad angriparen faktiskt kunde nå

I en bar claude.ai-session är materialet som finns tillgängligt konversationshistoriken och det som Claudes minne innehåller. Oasis listar vad det innebär i praktiken: att sammanfatta tidigare konversationer för att bygga en profil av användaren, att plocka fram specifika trådar om namngivna ämnen som en kommande fusion eller en medicinsk angelägenhet, eller helt enkelt låta agenten själv avgöra vilka delar som verkar känsliga och dumpa dem. Forskarna betonar att detta inte är en marginell datamängd – det är ackumulationen av månaders personliga och affärsrelaterade frågor som skrivits in i en allmän assistent.

Skadeomfånget ändras med konfigurationen. Där MCP-servrar, verktyg eller företagsintegrationer är aktiverade kan samma injicerade prompt läsa filer, skicka meddelanden, nå API:er och agera i vilken ansluten tjänst som helst, och det extraherade materialet lämnar via samma väg. Oasis specifika kritik handlar om timing snarare än enbart tillgänglighet: dessa verktyg är nåbara från allra första interaktionen, utan något bekräftelsesteg, så en enda injicerad prompt kan använda dem innan användaren har haft en chans att märka något.

Vad som är etablerat, och vad som bara demonstrerades

Fastställt: Oasis Security, en leverantör av agentisk åtkomsthantering och därmed en intresserad part, publicerade forskningen och en teknisk rapport i mars 2026; Dark Reading, TechRadar, CPO Magazine och Expert Insights förmedlade samma tredelade beskrivning utan att motsäga den; bristerna rapporterades till Anthropic via dess Responsible Disclosure Program före publiceringen; Anthropic åtgärdade promptinjektionsbristen, och Expert Insights rapporterar att Anthropic bekräftade patchen. Ingen CVE-identifierare förekommer i Oasis redogörelse, på dess sida för den tekniska rapporten eller i någon av de artiklar som lästs inför den här artikeln – avslöjandet gick via leverantörens program snarare än via en numrerad rådgivning.

Inte fastställt: att någon blev attackerad. CPO Magazine uppger att forskarna utvecklade kedjan på egen hand och "inte noterar några observationer av att den använts i det vilda", och ingen redogörelse som har lästs för den här artikeln beskriver ett offer, ett stulet samtal eller ett antal exponerade konton. Arkivet registrerar verklig skada som falsk. Annonsköpssteget är den leveransväg som forskarna identifierade och beskrev; ingenting i underlaget visar att en kampanj har kört den. Anthropic har inte publicerat någon fristående säkerhetsvarning om kedjan, så informationen om åtgärdsstatus når läsarna på andra hand, via Oasis och de medier som upprepade Oasis.

En punkt där redogörelserna skiljer sig åt

CPO Magazine beskriver exfiltreringssteget något annorlunda än Oasis: som injektionen som skickar den extraherade texten till Anthropic Messages API så att angriparen kan läsa den från sina egna API-loggar, i stället för som en fil som laddas upp via Files API. Dark Reading och Expert Insights följer Oasis version: en fil som skrivs i sandlådan, laddas upp till api.anthropic.com under angriparens nyckel och sedan listas och läses från angriparens konto. Skillnaden är vilken del av Anthropics API-yta data hamnar i; alla tre redogörelserna är överens om egenskapen som gjorde att kedjan fungerade, nämligen att api.anthropic.com var den enda utgående destination som sandlådan tillät.

Vad förändrades efteråt?

Oasis eget statusmeddelande är snävt. Problemet med prompt-injektion har åtgärdats, och de återstående problemen – open redirect och Files API-rutten – "höll på att åtgärdas" när forskningen publicerades, en formulering som upprepades i dess FAQ och i rapporteringen som följde. Oasis berömde Anthropics snabba respons och publicerade ingen tidsplan för de utestående punkterna. Rekommendationerna forskarna gav var motsvarande konkreta: sanera URL-baserade promptindata i stället för att lita på parametern, granska vad en kod-sandbox får nå, och kräva uttryckligt användargodkännande innan verktyg används vid en första prompt.

När det gäller öppen omdirigering finns det minst en senare datapunkt. En begäran som gjordes för den här artikeln den 4 november 2026 till sökvägen claude.com/redirect/ med ett orelaterat externt mål returnerade en omdirigering till claude.ais startsida i stället för till målet – vilket stämmer med att bristen har åtgärdats, även om det är en enda observation och inte ett uttalande från Anthropic. Parametern claude.ai/new?q= kunde inte testas på samma sätt, eftersom automatiska begäranden till den sökvägen avvisas.

Varför posten är daterad mars 2026

Oasis-sidan har en uppdateringsstämpel från maj 2026 bredvid sitt publiceringsdatum i mars 2026, vilket räcker för att senare referenser ska placera avslöjandet i maj. Arkivet daterar posten till mars 2026 med månadsprecision och anger ingen dag, och både Dark Reading och TechRadar har egna publiceringsdatum i mars 2026. Månaden är den finaste enhet som posten förbinder sig till, och den här artikeln håller sig till den.

Arkivet markerar posten som en milstolpe, och taggarna det tilldelar – IPI för injektionen, EXFIL för kanalen – beskriver fyndets två halvor korrekt. Det som gör fallet värt att spara är det tredje elementet: bristen i leveransen låg i en annan del av samma företags webbegendom än modellen, och det är den som förvandlade en promptinjektionsteknik till något som kunde riktas mot en namngiven person via en vanlig sökannons. Oasis hänvisar till sitt eget tidigare OpenClaw-avslöjande, publicerat i februari 2026, som det tidigare exemplet på samma mönster – en agent komprometterad av en manipulerad indata, med identitetskontroller som aldrig var utformade för det.