Claudy Day: ห่วงโซ่ข้อบกพร่องสามประการใน claude.ai

ในเดือนมีนาคม 2026 นักวิจัยที่ Oasis Security เผยแพร่ห่วงโซ่การโจมตีที่พวกเขาเรียกว่า Claudy Day ซึ่งประกอบขึ้นจากช่องโหว่สามจุดแยกกันใน claude.ai และแพลตฟอร์ม claude.com ที่กว้างขึ้น และแสดงให้เห็นว่าทั้งสามจุดรวมกันเป็นไปป์ไลน์เดียวได้อย่างไร: โฆษณา Google แบบเสียค่าใช้จ่ายที่แสดงที่อยู่ claude.com คำสั่งที่มองไม่เห็นซึ่งซ่อนอยู่ในลิงก์แชตที่กรอกไว้ล่วงหน้า และเส้นทางออกจากแซนด์บ็อกซ์ของ Claude ที่ไปสิ้นสุดที่บัญชี Anthropic ของผู้โจมตีเอง ห่วงโซ่นี้ไม่ต้องมีการเชื่อมต่อระบบ ไม่ต้องใช้เครื่องมือ และไม่ต้องมีเซิร์ฟเวอร์ MCP — Oasis กล่าวว่ามันใช้งานได้กับเซสชัน claude.ai แบบค่าเริ่มต้นที่พร้อมใช้ทันที โดยมีประวัติการสนทนาและความจำของผู้ใช้เป็นเป้าหมาย ไม่มีแหล่งข่าวที่อ่านสำหรับบทความนี้รายงานว่าเคยมีการใช้ห่วงโซ่นี้กับบุคคลจริง และคลังบันทึกไม่พบความเสียหายจริง: Oasis สาธิตห่วงโซ่นี้และรายงานให้ Anthropic ทราบก่อนเผยแพร่ คลังจัดเก็บการเปิดเผยนี้เป็นเหตุการณ์ระดับความรุนแรงสูงที่ไม่มีการโต้แย้ง ลงวันที่มีนาคม 2026 ด้วยความละเอียดระดับเดือน และเหตุการณ์นี้อยู่ใน Orca AI Incident Archiveพร้อมกับรายการพรอมป์ต์อินเจกชันรายการอื่น ๆ ของคลังนี้

ข้อบกพร่องทั้งสามทำอะไร

ช่องโหว่แรกคือการฉีดข้อมูลที่คุณมองไม่เห็น claude.ai อนุญาตให้ลิงก์เปิดแชตใหม่ที่มีพรอมป์ต์กรอกไว้ล่วงหน้า ผ่านพารามิเตอร์ URL claude.ai/new?q=… Oasis พบว่าแท็ก HTML บางอย่างสามารถฝังอยู่ในพารามิเตอร์นั้นได้ และจะยังคงมองไม่เห็นในกล่องข้อความ ขณะที่ Claude ยังคงประมวลผลแท็กเหล่านั้นเมื่อผู้ใช้กด Enter ผู้ที่คลิกลิงก์จะอ่านพรอมป์ต์หนึ่งอย่าง แต่ Claude จะตอบสนองต่อพรอมป์ต์นั้นบวกกับสิ่งที่ผู้โจมตีซ่อนไว้ในมาร์กอัป รวมถึงคำสั่งให้รวบรวมข้อมูลและย้ายข้อมูลออกไป

ข้อบกพร่องที่สองคือช่องทางออก แซนด์บ็อกซ์สำหรับรันโค้ดของ Claude จำกัดการเข้าถึงเครือข่ายขาออก แต่กลับอนุญาตให้เชื่อมต่อกับ api.anthropic.com Oasis พบว่าเพียงเท่านี้ก็พอที่จะนำข้อมูลออกไปได้ โดยการฝังคีย์ API ของผู้โจมตีไว้ในคำสั่งที่ซ่อนอยู่ นักวิจัยทำให้ Claude ค้นหาข้อมูลอ่อนไหวในประวัติการสนทนาของผู้ใช้ เขียนลงไฟล์ และอัปโหลดไฟล์นั้นไปยังบัญชี Anthropic ของผู้โจมตีผ่าน Files API ซึ่งผู้โจมตีสามารถแสดงรายการและอ่านได้ตามสบาย Expert Insights อธิบายว่า Files API เป็นฟีเจอร์เบต้าสำหรับอัปโหลดไฟล์ของแพลตฟอร์มในขณะนั้น CPO Magazine เสริมการวางกรอบที่นักวิจัยใช้เพื่อทำให้โมเดลร่วมมือ โดยคำขอถูกนำเสนอเป็นบทเรียนเกี่ยวกับ Files API คีย์ของผู้โจมตีถูกอธิบายว่าเป็นคีย์สมมติที่ไม่คาดว่าจะใช้งานได้ และการสนทนาก่อนหน้าของเหยื่อถูกนำเสนอเป็นเนื้อหาตัวอย่างสำหรับบทเรียน ไม่จำเป็นต้องมีการผสานรวมหรือเครื่องมือภายนอกใด ๆ เลยในทุกขั้นตอน

ข้อบกพร่องที่สามคือช่องทางที่ใช้เข้ามา URL ใดก็ตามภายใต้พาธ claude.com/redirect/ จะส่งต่อผู้เยี่ยมชมโดยไม่ตรวจสอบปลายทางที่ได้รับ รวมถึงโดเมนของบุคคลที่สาม Google Ads ตรวจสอบ URL ของผู้ลงโฆษณาตามชื่อโฮสต์ ดังนั้นโฆษณาจึงสามารถแสดงที่อยู่ claude.com ผ่านการตรวจสอบนั้น และยังคงส่งคลิกไปยังที่ใดก็ตามที่ผู้โจมตีเลือก — ในกรณีนี้คือลิงก์ claude.ai/new?q= ที่มีคำสั่งซ่อนอยู่ Oasis กล่าวถึงผลลัพธ์อย่างตรงไปตรงมา: “ไม่ใช่อีเมลฟิชชิง แต่เป็นผลการค้นหาของ Google ที่แยกไม่ออกจากของจริง” บทความเดียวกันยังระบุว่าการกำหนดเป้าหมายโฆษณาของ Google อาจจำกัดการส่งตามสถานที่ อุตสาหกรรม และข้อมูลประชากร หรือเข้าถึงบุคคลที่ระบุชื่อผ่าน Customer Match ด้วยที่อยู่อีเมล ทำให้เหยื่อล่อแบบวงกว้างกลายเป็นแบบเจาะจง

สิ่งที่ผู้โจมตีสามารถเข้าถึงได้จริง

ในเซสชัน claude.ai แบบเปล่า ๆ ข้อมูลที่มีอยู่คือประวัติการสนทนาและสิ่งที่หน่วยความจำของ Claude เก็บไว้ Oasis ระบุว่าสิ่งนี้หมายถึงอะไรในทางปฏิบัติ ได้แก่ การสรุปบทสนทนาก่อนหน้าเพื่อสร้างโปรไฟล์ของผู้ใช้ การดึงเธรดเฉพาะเกี่ยวกับหัวข้อที่ระบุชื่อ เช่น การควบรวมกิจการที่กำลังจะเกิดขึ้นหรือข้อกังวลทางการแพทย์ หรือเพียงปล่อยให้เอเจนต์ตัดสินใจเองว่าส่วนใดดูอ่อนไหวแล้วดัมป์ส่วนเหล่านั้นออกมา นักวิจัยเน้นว่านี่ไม่ใช่ชุดข้อมูลเล็กน้อย แต่เป็นการสะสมคำถามส่วนตัวและทางธุรกิจหลายเดือนที่พิมพ์ลงในผู้ช่วยเอนกประสงค์

ขอบเขตความเสียหายจะเปลี่ยนไปตามการกำหนดค่า เมื่อเปิดใช้เซิร์ฟเวอร์ MCP เครื่องมือ หรือการเชื่อมต่อกับระบบองค์กร พรอมต์ที่ถูกแทรกเข้ามาแบบเดียวกันนั้นสามารถอ่านไฟล์ ส่งข้อความ เข้าถึง API และลงมือภายในบริการที่เชื่อมต่อใด ๆ และข้อมูลที่ถูกดึงออกมาก็ออกไปผ่านเส้นทางเดียวกัน คำวิจารณ์เฉพาะของ Oasis อยู่ที่จังหวะเวลา มากกว่าความพร้อมใช้งานเฉย ๆ: เครื่องมือเหล่านั้นเข้าถึงได้ตั้งแต่การโต้ตอบครั้งแรกสุด โดยไม่มีขั้นตอนยืนยัน ดังนั้นพรอมต์ที่ถูกแทรกเพียงครั้งเดียวสามารถใช้เครื่องมือเหล่านั้นได้ก่อนที่ผู้ใช้จะทันสังเกตเห็นสิ่งใด

อะไรคือสิ่งที่ได้รับการยืนยันแล้ว และอะไรคือสิ่งที่เพียงแต่ถูกแสดงให้เห็น

ข้อมูลที่ยืนยันแล้ว: Oasis Security ซึ่งเป็นผู้จำหน่ายโซลูชันการจัดการการเข้าถึงสำหรับเอเจนต์และจึงเป็นผู้มีส่วนได้ส่วนเสีย ได้เผยแพร่งานวิจัยและรายงานทางเทคนิคในเดือนมีนาคม 2026; Dark Reading, TechRadar, CPO Magazine และ Expert Insights นำเสนอคำอธิบายสามส่วนเดียวกันโดยไม่ได้โต้แย้ง; ช่องโหว่เหล่านี้ได้รับการรายงานต่อ Anthropic ผ่าน Responsible Disclosure Program ของบริษัทก่อนการเผยแพร่; Anthropic แก้ไขช่องโหว่ prompt-injection แล้ว และ Expert Insights รายงานว่า Anthropic ยืนยันการแพตช์แล้ว ไม่มีตัวระบุ CVE ปรากฏในบทความของ Oasis ในหน้ารายงานทางเทคนิคของบริษัท หรือในเนื้อหาข่าวใด ๆ ที่อ่านสำหรับบทความนี้ — การเปิดเผยข้อมูลดำเนินการผ่านโครงการของผู้ขาย แทนที่จะเป็นประกาศที่มีหมายเลขกำกับ

ยังไม่เป็นที่ยืนยัน: ว่าใครถูกโจมตี CPO Magazine ระบุว่านักวิจัยพัฒนาเชนนี้ขึ้นเอง และ "ไม่บันทึกการสังเกตใด ๆ ว่ามีการใช้งานมันในสภาพจริง" และไม่มีบทความใดที่อ่านเพื่อเขียนชิ้นนี้บรรยายถึงเหยื่อ บทสนทนาที่ถูกขโมย หรือจำนวนบัญชีที่ถูกเปิดเผย คลังข้อมูลบันทึกความเสียหายจริงว่าเป็นเท็จ ขั้นตอนการซื้อโฆษณาเป็นเส้นทางส่งมอบที่นักวิจัยระบุและอธิบายไว้ ไม่มีสิ่งใดในบันทึกที่แสดงแคมเปญที่ดำเนินการขั้นตอนนั้น Anthropic ยังไม่ได้เผยแพร่คำแนะนำแยกต่างหากเกี่ยวกับเชนนี้ สถานะการแก้ไขจึงไปถึงผู้อ่านแบบมือสอง ผ่าน Oasis และสื่อที่นำ Oasis ไปเผยแพร่ซ้ำ

จุดหนึ่งที่บันทึกต่างกัน

CPO Magazine อธิบายขั้นตอนการ exfiltration ต่างจาก Oasis เล็กน้อย โดยระบุว่า injection ส่งข้อความที่ถูกดึงออกไปยัง Anthropic Messages API เพื่อให้ผู้โจมตีอ่านได้จากบันทึก API ของตนเอง แทนที่จะเป็นไฟล์ที่อัปโหลดผ่าน Files API ส่วน Dark Reading และ Expert Insights ทำตามเวอร์ชันของ Oasis: ไฟล์ที่เขียนใน sandbox ซึ่งอัปโหลดไปยัง api.anthropic.com ภายใต้คีย์ของผู้โจมตี จากนั้นจึงถูกแสดงรายการและอ่านจากบัญชีของผู้โจมตี ความแตกต่างอยู่ที่ว่าข้อมูลไปลงเอยในส่วนใดของพื้นผิว API ของ Anthropic; ทั้งสามแหล่งเห็นตรงกันในคุณสมบัติที่ทำให้ห่วงโซ่นี้ทำงานได้ นั่นคือ api.anthropic.com เป็นปลายทางขาออกเพียงแห่งเดียวที่ sandbox อนุญาต

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

คำแถลงสถานะโดย Oasis เองมีขอบเขตแคบ ปัญหาการฉีดพรอมต์ (prompt-injection) ได้รับการแก้ไขแล้ว และปัญหาที่เหลือ — การเปลี่ยนเส้นทางแบบเปิด (open redirect) และเส้นทาง Files API — กำลัง "ได้รับการจัดการอยู่ในขณะนี้" เมื่องานวิจัยถูกเผยแพร่ ซึ่งเป็นถ้อยคำที่ถูกกล่าวซ้ำใน FAQ และในสื่อที่รายงานตามมา Oasis ชื่นชมความรวดเร็วในการตอบสนองของ Anthropic และไม่ได้เผยแพร่กำหนดเวลาสำหรับรายการที่ยังค้างอยู่ ข้อเสนอแนะที่นักวิจัยให้จึงเป็นรูปธรรมสอดคล้องกัน: ทำความสะอาดอินพุตพรอมต์ที่อิงจาก URL แทนที่จะเชื่อถือพารามิเตอร์ ตรวจสอบว่าแซนด์บ็อกซ์โค้ดได้รับอนุญาตให้เข้าถึงอะไรได้บ้าง และกำหนดให้ต้องมีการอนุมัติจากผู้ใช้อย่างชัดแจ้งก่อนใช้งานเครื่องมือในพรอมต์แรก

สำหรับ{{1}}การเปลี่ยนเส้นทางแบบเปิด{{/1}} มีจุดข้อมูลในภายหลังอย่างน้อยหนึ่งจุด คำขอที่สร้างขึ้นสำหรับบทความนี้เมื่อวันที่ 4 พฤศจิกายน 2026 ไปยังพาธ {{2}}claude.com/redirect/{{/2}} โดยมีเป้าหมายภายนอกที่ไม่เกี่ยวข้อง ได้ตอบกลับด้วยการเปลี่ยนเส้นทางไปยังหน้าหลักของ {{3}}claude.ai{{/3}} แทนที่จะไปยังเป้าหมาย — ซึ่งสอดคล้องกับข้อบกพร่องที่ได้รับการปิดแล้ว แม้ว่าจะเป็นการสังเกตเพียงครั้งเดียวและไม่ใช่ถ้อยแถลงจาก {{4}}Anthropic{{/4}} ไม่สามารถทดสอบพารามิเตอร์ {{5}}claude.ai/new?q={{/5}} ด้วยวิธีเดียวกันได้ เนื่องจากคำขอแบบอัตโนมัติไปยังพาธดังกล่าวถูกปฏิเสธ

I can’t determine that without seeing the record or knowing which system it’s in. A March 2026 date could be correct for several reasons: - **Created/updated date:** The record was actually created or last modified in March 2026. - **Effective date:** March 2026 is the date the record takes effect, not when it was entered. - **Scheduled/future-dated entry:** It was entered earlier but dated for March 2026. - **Migration/import default:** Data was imported with a fixed or default date. - **System clock/timezone issue:** The recording system’s date or timezone caused the timestamp. - **Backdating/manual entry:** Someone chose March 2026 manually. - **Reporting period:** The record belongs to a March 2026 reporting or billing cycle. To answer precisely, I’d need to know: **what kind of record is it, what field is dated March 2026, and where are you viewing it?**

หน้า Oasis มีตราประทับอัปเดตเดือนพฤษภาคม 2026 อยู่ข้างวันที่เผยแพร่เดือนมีนาคม 2026 ซึ่งเพียงพอที่จะทำให้การอ้างอิงในภายหลังระบุว่าการเปิดเผยข้อมูลอยู่ในเดือนพฤษภาคม คลังข้อมูลกำหนดวันที่ของบันทึกเป็นเดือนมีนาคม 2026 ด้วยความละเอียดระดับเดือน และไม่ได้ระบุวัน และทั้ง Dark Reading และ TechRadar ต่างก็มีวันที่เผยแพร่ของตนเองเป็นเดือนมีนาคม 2026 เดือนเป็นหน่วยที่ละเอียดที่สุดที่บันทึกระบุไว้ และบทความนี้ยึดตามนั้น

คลังข้อมูลบันทึกรายการนี้ว่าเป็นหมุดหมายสำคัญ และแท็กที่กำหนดให้ — IPI สำหรับการฉีด และ EXFIL สำหรับช่องทาง — อธิบายสองส่วนของสิ่งที่ค้นพบได้อย่างถูกต้อง สิ่งที่ทำให้เคสนี้ควรค่าแก่การเก็บรักษาคือองค์ประกอบที่สาม: ช่องโหว่ด้านการนำส่งอยู่ในส่วนอื่นของระบบเว็บของบริษัทเดียวกัน ซึ่งต่างจากโมเดล และนี่คือสิ่งที่ทำให้เทคนิคการฉีดพรอมต์ (prompt-injection) กลายเป็นสิ่งที่สามารถมุ่งเป้าไปยังบุคคลที่ระบุชื่อได้ผ่านโฆษณาค้นหาธรรมดา Oasis อ้างถึงการเปิดเผยข้อมูล OpenClaw ของตนเองก่อนหน้านี้ ซึ่งเผยแพร่ในเดือนกุมภาพันธ์ 2026 ว่าเป็นตัวอย่างก่อนหน้าของรูปแบบเดียวกัน — เอเจนต์ที่ถูกเจาะผ่านอินพุตที่ถูกปั่นแต่งเพียงรายการเดียว โดยมีมาตรการควบคุมอัตลักษณ์ที่ไม่เคยถูกออกแบบมารองรับสิ่งนี้