Claudy Day：claude.ai 中的三缺陷鏈

2026 年 3 月，Oasis Security 的研究人員公布了一條他們稱為 Claudy Day 的攻擊鏈，該攻擊鏈由 claude.ai 及更廣泛的 claude.com 平台中的三個獨立缺陷組成，並展示了這三者如何合併成一條管線：一則顯示 claude.com 位址的付費 Google 廣告、一段藏在預填聊天連結中的隱形指令，以及一條從 Claude 沙箱逃出、最終導向攻擊者自己的 Anthropic 帳戶的路徑。這條攻擊鏈不需要任何整合、工具或 MCP 伺服器——Oasis 表示，它可對預設、開箱即用的 claude.ai 工作階段奏效，目標是使用者的對話歷史與記憶。本文查閱的來源均未報導該攻擊鏈曾被用於真實人物，而檔案庫也未記錄任何實際危害：Oasis 在發布前已示範該攻擊並向 Anthropic 回報。檔案庫將這起揭露列為高嚴重性、無爭議的事件，日期以月份精度記為 2026 年 3 月，而它位於Orca AI Incident Archive中，與其餘提示注入條目並列。

那三個缺陷做了什麼

第一個缺陷是一種你肉眼看不見的注入攻擊。claude.ai 允許連結透過 URL 參數 claude.ai/new?q=… 開啟新對話，並預先填好提示詞。Oasis 發現，某些 HTML 標籤可以嵌入該參數，在文字方塊中維持不可見，但使用者按下 Enter 後仍會被 Claude 處理。點擊連結的人會讀到一個提示詞；Claude 則會根據該提示詞，再加上攻擊者埋藏在標記中的任何內容來行動，包括蒐集資料並將其搬移的指令。

第二個缺陷是外洩出口。Claude 的程式碼執行沙箱會限制對外網路存取，但允許連線到 api.anthropic.com。Oasis 發現，光這樣就足以把資料帶走：研究人員將屬於攻擊者的 API 金鑰嵌入隱藏指令中，讓 Claude 搜尋使用者的對話歷史以找出敏感資料，將其寫入檔案，並透過 Files API 把該檔案上傳到攻擊者的 Anthropic 帳戶；攻擊者可在該處列出檔案並從容讀取。Expert Insights 將 Files API 描述為當時平台的文件上傳 Beta 功能。CPO Magazine 補充了研究人員讓模型配合時所用的說法：該請求被包裝成關於 Files API 的課程，攻擊者的金鑰被描述為預期不會作用的假金鑰，而受害者的先前對話則被提供作為該課程的範例內容。整個過程完全不需要任何整合，也不需要外部工具。

第三個漏洞是入侵途徑。任何位於 claude.com/redirect/ 路徑下的 URL，都會在未驗證所指定目標的情況下將訪客轉址，包括轉往第三方網域。Google Ads 會依主機名稱驗證廣告主的 URL，因此一則廣告可以顯示 claude.com 位址、通過該驗證，卻仍把點擊導向攻擊者選擇的任何地方——在此案例中，是導向一個夾帶隱藏指令的 claude.ai/new?q= 連結。Oasis 直截了當地總結這個結果：「這不是釣魚郵件。而是一個 Google 搜尋結果，與真實內容難以區分。」同一份報告也指出，Google 的廣告定向可依地點、產業與人口統計資料縮小投放範圍，或透過以電子郵件地址進行的 Customer Match 觸及特定個人，讓廣泛的誘餌變成針對性的誘餌。

攻擊者實際上能觸及到什麼

在一個單純的 claude.ai 工作階段中，可取得的素材是對話歷史，以及 Claude 記憶所保留的內容。Oasis 列出這在實務上代表什麼：摘要先前的對話以建立使用者輪廓、針對具名主題（例如即將到來的合併案或醫療疑慮）提取特定討論串，或乾脆讓代理自行決定哪些部分看起來敏感，並把那些內容全都傾印出來。研究人員強調，這不是邊緣性的資料集——而是數個月來輸入通用型助理的個人與商業問題所累積而成。

影響範圍會隨設定而改變。在啟用 MCP 伺服器、工具或企業整合的情況下，同一個被注入的提示詞可以讀取檔案、傳送訊息、觸及 API，並在任何已連線的服務內採取行動，而遭擷取的資料也會循同一途徑外流。Oasis 的具體批評在於時機，而非僅僅是可用性：這些工具從第一次互動起就能觸及，且沒有確認步驟，因此單一被注入的提示詞就能在使用者還來得及察覺任何異狀之前使用它們。

什麼是已確立的，而什麼只是被展示的

已確認：Oasis Security 是代理式存取管理供應商，因此屬於利益相關方；該公司於 2026 年 3 月發表了這項研究與一份技術報告；Dark Reading、TechRadar、CPO Magazine 和 Expert Insights 刊載了相同的三部分描述，且未加以反駁；這些漏洞在發表前已透過 Anthropic 的 Responsible Disclosure Program 回報給 Anthropic；Anthropic 已修復提示注入漏洞，Expert Insights 報導 Anthropic 已確認該修補程式。Oasis 的文章、其技術報告頁面，或本文所閱讀的任何報導中，均未出現 CVE 識別碼——此次揭露是透過該供應商的計畫進行，而非透過編號公告。

尚未證實：任何人曾遭到攻擊。CPO Magazine 表示，研究人員獨立開發出這條攻擊鏈，且「並未註明任何觀察到它被用於實際環境的紀錄」；而本文所閱讀的任何記述，都未描述受害者、遭竊的對話，或曝光帳號的數量。該檔案將真實危害記錄為不實。廣告投放步驟是研究人員識別並描述的投遞途徑；紀錄中沒有任何內容顯示曾有某個行動實際執行過它。Anthropic 尚未就這條攻擊鏈發布獨立公告，因此修復狀態是透過 Oasis 以及轉載 Oasis 內容的媒體，二手傳達給讀者。

各版本說法出現分歧的一點

CPO Magazine 對外洩步驟的描述與 Oasis 略有不同：它將注入描述為把擷取到的文字送往 Anthropic Messages API，讓攻擊者能從自己的 API 日誌中讀取，而不是描述成透過 Files API 上傳的檔案。Dark Reading 與 Expert Insights 則沿用 Oasis 的說法：在沙箱中寫入檔案，以攻擊者的金鑰上傳至 api.anthropic.com，然後從攻擊者的帳戶列出並讀取。差異在於資料最終落在 Anthropic API 介面的哪一部分；三種說法都同意讓這條攻擊鏈得以成立的特性，也就是 api.anthropic.com 是沙箱唯一允許的對外目的地。

之後有什麼改變？

Oasis 自身的狀態聲明範圍狹窄。提示注入問題已修復，而其餘問題——開放式重新導向與 Files API 路由——在研究發表時「目前正在處理」，這種說法在其 FAQ 與後續報導中重複出現。Oasis 讚揚 Anthropic 的回應速度，且未公布待處理事項的時間表。研究人員提出的建議也相應具體：對以 URL 為基礎的提示輸入進行清理，而非信任該參數；稽核程式碼沙箱被允許觸及的範圍；以及在首次提示中使用工具之前，要求使用者明確核准。

關於開放式重新導向，至少還有一個較晚的資料點。2026 年 11 月 4 日，針對本文對 claude.com/redirect/ 路徑發出帶有不相關外部目標的請求，結果回傳的是重新導向至 claude.ai 首頁，而非該目標——這與該瑕疵已被修補的情況一致，不過這只是單一觀察，並非 Anthropic 的聲明。claude.ai/new?q= 參數無法以相同方式測試，因為對該路徑的自動化請求會被拒絕。

為什麼這筆記錄的日期是 2026 年 3 月

Oasis 頁面在其 2026 年 3 月發布日期旁帶有 2026 年 5 月更新標記，這足以讓後續引用將該披露置於 5 月。該存檔以月份為精度，將紀錄標為 2026 年 3 月，且未指明具體日期；Dark Reading 和 TechRadar 各自也都有 2026 年 3 月的發布日期。月份是該紀錄所承諾的最精細單位，本文也維持此一精度。

檔案將該條目標記為里程碑，而它所指派的標籤——以 IPI 標示注入、以 EXFIL 標示通道——精確描述了這項發現的兩個部分。真正讓這個案例值得留存的是第三個要素：該交付缺陷存在於同一家公司網路資產中與模型不同的另一部分，而正是它讓一項提示注入技術，變成可透過一則普通搜尋廣告瞄準特定具名人士的手段。Oasis 引用自家早先於 2026 年 2 月發布的 OpenClaw 揭露報告，作為同一模式的先例——一個因單一遭操弄的輸入而淪陷的代理，而它的身分控管原本從未為此設計。