Claudy Day: một chuỗi ba lỗ hổng trong claude.ai

Vào tháng 3 năm 2026, các nhà nghiên cứu tại Oasis Security đã công bố một chuỗi tấn công mà họ gọi là Claudy Day, được ghép từ ba lỗ hổng riêng biệt trong claude.ai và nền tảng claude.com rộng lớn hơn, đồng thời chỉ ra cách ba lỗ hổng này kết hợp thành một đường dẫn tấn công: một quảng cáo Google trả phí hiển thị địa chỉ claude.com, một chỉ dẫn vô hình ẩn trong liên kết trò chuyện được điền sẵn, và một lối thoát khỏi sandbox của Claude dẫn đến chính tài khoản Anthropic của kẻ tấn công. Chuỗi tấn công không yêu cầu tích hợp, không cần công cụ và không cần máy chủ MCP — Oasis cho biết nó hoạt động với một phiên claude.ai mặc định, nguyên bản, lấy lịch sử trò chuyện và bộ nhớ của người dùng làm mục tiêu. Không có nguồn nào được đọc cho bài viết này báo cáo rằng chuỗi tấn công đã được dùng nhằm vào một người thật, và kho lưu trữ không ghi nhận tổn hại thực tế nào: Oasis đã trình diễn nó và báo cáo cho Anthropic trước khi công bố. Kho lưu trữ phân loại tiết lộ này là một sự cố mức độ nghiêm trọng cao, không gây tranh cãi, có niên đại tháng 3 năm 2026 với độ chính xác đến tháng, và nó nằm trong Orca AI Incident Archive cùng với phần còn lại của các mục prompt-injection trong đó.

Ba lỗ hổng đã làm gì

Lỗ hổng đầu tiên là một dạng injection mà bạn không thể nhìn thấy. claude.ai cho phép một liên kết mở cuộc trò chuyện mới với prompt đã được điền sẵn, thông qua tham số URL claude.ai/new?q=… Oasis phát hiện rằng một số thẻ HTML nhất định có thể được nhúng vào tham số đó và vẫn vô hình trong ô văn bản trong khi vẫn được Claude xử lý sau khi người dùng nhấn Enter. Người nhấp vào liên kết sẽ đọc thấy một prompt; Claude sẽ hành động dựa trên prompt đó cùng với bất cứ thứ gì kẻ tấn công đã giấu trong phần đánh dấu, bao gồm cả chỉ dẫn thu thập dữ liệu và chuyển dữ liệu đi.

Lỗ hổng thứ hai là đường thoát. Hộp cát thực thi mã của Claude hạn chế quyền truy cập mạng ra ngoài, nhưng nó lại cho phép các kết nối tới api.anthropic.com. Oasis phát hiện chỉ riêng điều này đã đủ để mang dữ liệu ra ngoài: bằng cách nhúng một API key thuộc về kẻ tấn công vào trong các chỉ dẫn ẩn, các nhà nghiên cứu đã khiến Claude tìm kiếm tài liệu nhạy cảm trong lịch sử trò chuyện của người dùng, ghi nó vào một tệp và tải tệp đó lên tài khoản Anthropic của kẻ tấn công thông qua Files API, nơi kẻ tấn công có thể liệt kê và đọc nó một cách thoải mái. Expert Insights mô tả Files API là một tính năng beta tải tệp lên của nền tảng vào thời điểm đó. CPO Magazine bổ sung cách dẫn dắt mà các nhà nghiên cứu đã dùng để khiến mô hình hợp tác: yêu cầu được trình bày như một bài học về Files API, khóa của kẻ tấn công được mô tả là một khóa giả không được kỳ vọng là sẽ hoạt động, và các cuộc trò chuyện trước đó của nạn nhân được đưa ra làm nội dung mẫu cho bài học. Không cần tích hợp và không cần công cụ bên ngoài nào ở bất kỳ thời điểm nào.

Lỗ hổng thứ ba chính là đường xâm nhập. Bất kỳ URL nào dưới đường dẫn claude.com/redirect/ đều chuyển hướng người truy cập mà không xác thực đích được cung cấp, kể cả tới các tên miền bên thứ ba. Google Ads xác thực URL của nhà quảng cáo theo tên máy chủ, nên một quảng cáo có thể hiển thị địa chỉ claude.com, vượt qua xác thực đó, mà vẫn đưa cú nhấp tới bất cứ đâu kẻ tấn công chọn — trong trường hợp này là tới liên kết claude.ai/new?q= mang các chỉ dẫn ẩn. Oasis nói thẳng kết quả: “Không phải email lừa đảo. Một kết quả tìm kiếm Google, không thể phân biệt với thứ thật.” Bài viết đó cũng lưu ý rằng nhắm mục tiêu quảng cáo của Google có thể thu hẹp phạm vi phân phối theo vị trí, ngành và nhân khẩu học, hoặc tiếp cận từng cá nhân được nêu tên thông qua Customer Match trên địa chỉ email, biến một mồi nhử rộng thành mồi nhử có mục tiêu.

Kẻ tấn công thực sự có thể tiếp cận được những gì

Trong một phiên claude.ai thuần túy, dữ liệu sẵn có là lịch sử hội thoại và bất cứ thứ gì bộ nhớ của Claude lưu giữ. Oasis liệt kê ý nghĩa thực tế của điều đó: tóm tắt các cuộc trò chuyện trước đó để xây dựng hồ sơ người dùng, kéo ra những luồng cụ thể về các chủ đề được nêu tên như một vụ sáp nhập sắp tới hoặc một mối lo ngại y tế, hoặc đơn giản là để tác nhân tự quyết định phần nào có vẻ nhạy cảm và trích xuất những phần đó. Các nhà nghiên cứu nhấn mạnh rằng đây không phải là một tập dữ liệu ngoài lề — mà là sự tích tụ của nhiều tháng câu hỏi cá nhân và công việc được nhập vào một trợ lý đa năng.

Phạm vi ảnh hưởng thay đổi tùy theo cấu hình. Khi máy chủ MCP, công cụ hoặc tích hợp doanh nghiệp được bật, cùng một prompt bị chèn có thể đọc tệp, gửi tin nhắn, truy cập API và hành động bên trong bất kỳ dịch vụ nào được kết nối, và dữ liệu bị trích xuất sẽ rời đi theo cùng đường đó. Điểm chỉ trích cụ thể của Oasis là về thời điểm chứ không chỉ là việc có sẵn: những công cụ đó có thể truy cập được ngay từ tương tác đầu tiên, không có bước xác nhận, nên một prompt bị chèn duy nhất có thể sử dụng chúng trước khi người dùng kịp nhận ra bất cứ điều gì.

Điều gì đã được xác lập và điều gì chỉ mới được chứng minh

Đã xác lập: Oasis Security, một nhà cung cấp quản lý truy cập tác tử và do đó là một bên có quyền lợi liên quan, đã công bố nghiên cứu và một báo cáo kỹ thuật vào tháng 3 năm 2026; Dark Reading, TechRadar, CPO Magazine và Expert Insights đã đăng cùng mô tả gồm ba phần mà không phản bác nó; các lỗ hổng đã được báo cáo cho Anthropic thông qua Chương trình Tiết lộ Có trách nhiệm của họ trước khi công bố; Anthropic đã sửa lỗ hổng chèn lệnh, và Expert Insights báo cáo rằng Anthropic đã xác nhận bản vá. Không có mã định danh CVE nào xuất hiện trong bài viết của Oasis, trong trang báo cáo kỹ thuật của họ, hoặc trong bất kỳ bài đưa tin nào được đọc cho bài viết này — việc tiết lộ diễn ra thông qua chương trình của nhà cung cấp chứ không phải một thông báo tư vấn có số hiệu.

Chưa được chứng minh: rằng bất kỳ ai đã bị tấn công. CPO Magazine nêu rằng các nhà nghiên cứu đã phát triển chuỗi này một cách độc lập và “không ghi nhận bất kỳ quan sát nào về việc nó được sử dụng ngoài thực tế”, và không có bài tường thuật nào được đọc để viết bài này mô tả một nạn nhân, một cuộc trò chuyện bị đánh cắp hay một con số tài khoản bị lộ. Kho lưu trữ ghi nhận thiệt hại thực tế là sai. Bước mua quảng cáo là tuyến phân phối mà các nhà nghiên cứu đã xác định và mô tả; không có gì trong hồ sơ cho thấy một chiến dịch đã chạy nó. Anthropic chưa công bố một khuyến cáo riêng về chuỗi này, nên tình trạng sửa lỗi đến với độc giả một cách gián tiếp, thông qua Oasis và các cơ quan báo chí đã lặp lại Oasis.

Một điểm mà các bản báo cáo khác nhau

CPO Magazine mô tả bước exfiltration hơi khác so với Oasis, ở chỗ injection gửi văn bản đã trích xuất đến Anthropic Messages API để kẻ tấn công có thể đọc nó từ nhật ký API của chính họ, thay vì một tệp được tải lên qua Files API. Dark Reading và Expert Insights theo phiên bản của Oasis: một tệp được ghi trong sandbox, được tải lên api.anthropic.com bằng khóa của kẻ tấn công, sau đó được liệt kê và đọc từ tài khoản của kẻ tấn công. Khác biệt nằm ở chỗ dữ liệu rơi vào phần nào trên bề mặt API của Anthropic; cả ba nguồn đều nhất trí về đặc tính đã khiến chuỗi tấn công hoạt động, đó là api.anthropic.com là đích gửi ra ngoài duy nhất mà sandbox cho phép.

Điều gì đã thay đổi sau đó?

Tuyên bố trạng thái của chính Oasis thì hẹp. Vấn đề prompt injection đã được khắc phục, và các vấn đề còn lại — chuyển hướng mở và tuyến Files API — đang "được xử lý" vào thời điểm nghiên cứu được công bố, một cách diễn đạt được lặp lại trong FAQ của họ và trong các bài đưa tin sau đó. Oasis ca ngợi khả năng phản hồi của Anthropic và không công bố mốc thời gian cho các hạng mục còn tồn đọng. Các khuyến nghị mà nhóm nghiên cứu đưa ra cũng tương ứng cụ thể: làm sạch đầu vào prompt dựa trên URL thay vì tin vào tham số, kiểm toán phạm vi mà một hộp cát mã được phép truy cập, và yêu cầu người dùng phê duyệt rõ ràng trước khi các công cụ được sử dụng trong lần prompt đầu tiên.

{{1}}Đối với lỗi chuyển hướng mở, có ít nhất một điểm dữ liệu về sau. Một yêu cầu được thực hiện cho bài viết này vào ngày 4 tháng 11 năm 2026 tới đường dẫn claude.com/redirect/ với một mục tiêu bên ngoài không liên quan đã trả về chuyển hướng đến trang chủ của claude.ai thay vì đến mục tiêu{{/1}} — phù hợp với việc lỗ hổng đã được khắc phục, mặc dù đó chỉ là một quan sát đơn lẻ và không phải là tuyên bố từ Anthropic. {{2}}Không thể kiểm tra tham số claude.ai/new?q= theo cùng cách, vì các yêu cầu tự động tới đường dẫn đó bị từ chối.{{/2}}

Tại sao bản ghi lại có ngày là tháng 3 năm 2026

Trang Oasis có dấu cập nhật tháng 5/2026 bên cạnh ngày xuất bản tháng 3/2026, đủ để các tham chiếu sau này đặt thời điểm công bố vào tháng 5. Kho lưu trữ ghi bản ghi vào tháng 3/2026 với độ chính xác đến tháng và không khẳng định ngày cụ thể, đồng thời cả Dark Reading và TechRadar đều có ngày xuất bản tháng 3/2026 của riêng mình. Tháng là đơn vị chi tiết nhất mà bản ghi cam kết, và bài viết này giữ theo đó.

Kho lưu trữ đánh dấu mục này là một cột mốc, và các thẻ mà nó gán — IPI cho cuộc tấn công tiêm lệnh, EXFIL cho kênh — mô tả chính xác hai nửa của phát hiện. Điều khiến trường hợp này đáng được lưu giữ là yếu tố thứ ba: lỗ hổng trong khâu phân phối nằm ở một phần khác trong hệ thống web của cùng công ty so với mô hình, và chính nó đã biến một kỹ thuật tiêm lệnh thành thứ có thể nhắm vào một người cụ thể thông qua một quảng cáo tìm kiếm thông thường. Oasis dẫn lại công bố OpenClaw trước đó của chính mình, xuất bản vào tháng 2 năm 2026, như ví dụ trước đó về cùng mô thức — một tác nhân bị xâm phạm bởi một đầu vào bị thao túng, với các biện pháp kiểm soát danh tính chưa từng được thiết kế cho nó.