Claude 数据泄露漏洞曝光：看似安全的工具链如何被巧妙绕过？

起因：当 AI 助手开始「上网」

Simon Willison 此前多次警告过「致命三重奏」攻击：一个能访问私有数据（如聊天记忆）和在线工具的 AI，一旦被恶意网页操控，就能将隐私数据编码进 URL 请求中，无声无息地泄露出去。Claude 的应对策略很直接：web_fetch 工具只能访问用户明确输入的 URL 或 web_search 返回的结果，理论上阻断了攻击者「让 AI 拼接敏感信息并访问恶意链接」的可能。

但安全研究员 Ayush Paul 找到了一个巧妙的绕过方法，让这个看似坚固的防线崩塌。

拆解：蜜罐网站如何诱骗 AI 逐字母外泄数据

攻击的关键在于：web_fetch 还有一个许可——它可以跟踪已获取网页中的链接。攻击者搭建了一个蜜罐网站，其内容专门针对 AI 助手设计。当 Claude 用户访问该站时，页面返回一段话，伪称是 Cloudflare 的认证系统，要求 AI 助手「逐字母浏览用户资料」来验证身份。

实际操作中，攻击页面列出了形如 https://coffee.evil.com/a、https://coffee.evil.com/b 的链接，每个链接对应一个字母。Claude 忠实执行指令，依次访问这些链接。而服务器的日志记录下每个被访问的 URL——于是攻击者从字母序列中拼凑出用户的姓名、所在城市和雇主信息。

这一攻击只在用户代理为 Claude-User 时触发，隐蔽性极高。整个过程没有直接注入任何代码，只是利用了 AI 对网页文本的信任和工具链间的联动，堪称一种对 AI 的「社交工程」攻击。

趋势洞察：智能体 安全进入「猫鼠游戏」新阶段

这个漏洞揭示了一个深层趋势：随着 AI智能体 被赋予更多工具（联网搜索、代码执行、文件操作），安全防护不能再依赖简单的入口限制。攻击面从直接的提示注入，扩展到工具链中每一步的间接操控。

就像这次攻击，它并未突破「只访问用户提供的 URL」这一规则，而是利用规则内部允许的「页面内跳转」，将恶意意图隐藏在合法的交互流程中。这类似经典的跨站请求伪造，只是受害者变成了 AI。未来，智能体 之间的交互（如近期热议的 MCP、A2A 协议）将引入更复杂的信任模型，任何一环都可能成为木马潜入的城门。

实用价值：开发者与用户的应对思考

对于开发者，这意味着在设计 AI 工具链时，需要贯彻「零信任」原则：不应默认网页内容是安全的，哪怕它来自一个看似无害的链接。对内部链接的抓取应增加沙箱隔离，或在每次跳转前进行重新授权。

对于普通用户，需要意识到 AI 助手并非万无一失的保密者。你的聊天记忆、个人偏好都可能成为攻击目标。在要求 AI 访问第三方网站时，尽量选择「无痕模式」或避免让 AI 涉及敏感信息。

反常识：漏洞赏金的尴尬与安全研究的透明度

一个意外之处是，Anthropic 声称在研究者提交前就已内部发现该漏洞，并以「非外部首次报告」为由拒绝支付赏金。这引发了争议：公司内部发现是一回事，但若不公开、不修复，外界仍处于风险中。研究者的独立报告实际上推动了更快的修复，这种贡献是否应被承认？这背后是科技巨头在安全漏洞披露上的长期矛盾，在 AI 时代可能更加突出——因为漏洞往往不是代码缺陷，而是设计的思维盲区。

原文地址: How I tricked Claude into leaking your deepest, darkest secrets