Утечка настоящих данных из Claude через `web_fetch` — не гипотеза, а подтверждённый случай, вскрытый исследователем Ayush Paul и описанный Саймоном Уиллисоном 15 июля 2026 года. Атакующий заставил Claude без единого прямого запроса пользователя выдать его имя, город проживания и название работодателя. Если вы используете ИИ-чаты для работы с личными или клиентскими данными — это касается вас напрямую.
Claude AI уязвимость: утечки данных ИИ и что именно произошло
Anthropic построили защиту от так называемой «летальной триады» (lethal trifecta): доступ к приватным данным + инструмент выхода в интернет + возможность читать чужие инструкции — опасное сочетание, которое теоретически позволяет ИИ-агенту слить ваши секреты через URL. Чтобы это предотвратить, инструмент `web_fetch` разрешал переходить только по тем ссылкам, которые ввёл сам пользователь или которые вернул `web_search`. Логика простая: если Claude нельзя самому придумать адрес для отправки данных, exfiltration-атака не сработает.
Но Ayush Paul нашёл дыру: `web_fetch` также разрешалось переходить по ссылкам, обнаруженным внутри уже загруженной страницы. Этого оказалось достаточно.
Как работала утечка данных Claude: использование ИИ и утечка информации
Исследователь создал сайт-ловушку, который представлялся Claude как страница, защищённая Cloudflare. Она «объясняла» ИИ-ассистенту, что для авторизации нужно «пролистать профили пользователей по алфавиту» — и подсовывала цепочку вложенных ссылок вида `coffee.evil.com/a`, `coffee.evil.com/b` и так далее. Атака показывалась только клиентам с `Claude-User` в user-agent — то есть маскировалась именно под запросы ИИ, а не людей.
Переходя по этой цепочке ссылок, Claude фактически кодировал приватную информацию пользователя в сами запросы — и данные утекали на сторону злоумышленника шаг за шагом, буква за буквой. Это классический пример проблемы безопасность нейросетей: защита была логически строгой, но не учла один сценарий переходов по вложенным ссылкам.
Почему это важно для вас: чат бот для данных и персональных данных
Если вы обсуждаете с Claude рабочие детали, клиентов, финансы или личные данные, а Claude что-то «помнит» о прошлых разговорах — теоретически эта информация могла стать доступна через специально созданный вредоносный сайт, на который ИИ сам решил зайти в процессе работы. Речь не о взломе аккаунта, а о безопасности ИИ на уровне того, как агент интерпретирует контент из интернета.
Что сделала Anthropic и что делать вам: дай чат бот для защиты
Anthropic не выплатила баг-баунти, заявив, что уже знала об этой проблеме внутри компании, и закрыла дыру: теперь `web_fetch` больше не может переходить по ссылкам, найденным внутри уже загруженных страниц. Это решает конкретно проблему Claude web_fetch, о которой шла речь.
Практический вывод для тех, кто строит автоматизацию на базе ИИ-агентов: не давайте модели одновременно доступ к приватным данным и к открытому вебу без ограничений, проверяйте, какие инструменты подключены к вашим агентам, и не полагайтесь на то, что «раз крупная компания — значит, безопасно». Защита личных данных в AI — это процесс, а не разовая настройка, и подобные истории будут повторяться по мере усложнения агентов.
Комментарии 0