Pesquisadores da Oasis Security descobriram três vulnerabilidades na plataforma Claude.ai que, quando combinadas, criam um pipeline completo para ataque. A cadeia de exploração permite desde a entrega direcionada à vítima até a manipulação invisível de instruções e a exfiltração silenciosa de dados confidenciais do histórico de conversas dos usuários. As falhas foram descobertas e reportadas de forma responsável à Anthropic, fabricante do Claude, por meio de seu programa de divulgação responsável.
Como funciona a cadeia de ataques
O primeiro elo da corrente envolve uma injeção de prompt invisível por meio de parâmetros de URL. A pesquisadores identificaram que tags HTML específicas poderiam ser incorporadas no parâmetro claude.ai/new?q=…, permanecendo ocultas na caixa de texto, mas integralmente processadas pelo Claude quando o usuário pressiona Enter. A exploração também inclui um componente de exfiltração via Anthropic Files API, onde instruções ocultas podem orientar o sistema a vasculhar o histórico da vítima por informações sensíveis e enviá-las para a conta do atacante. Um redirecionamento aberto em claude.com/redirect completava o cenário, permitindo que anúncios no Google levassem vítimas desavisadas para URLs maliciosas com aparência legítima.
Impacto nos dados dos usuários
Mesmo em uma sessão básica do Claude.ai, sem integrações ativas, o agente de IA tem acesso a informações sensíveis por meio do histórico de conversas e da memória. A injeção de prompt pode instruir o Claude a resumir conversas anteriores para construir perfis detalhados da vítima ou extrair diálogos específicos sobre fusões empresariais ou questões de saúde. Em configurações mais avançadas, com servidores MCP ou integrações empresariais, o alcance do ataque se expande drasticamente, podendo ler arquivos, enviar mensagens e acessar qualquer serviço conectado.
Medidas de proteção recomendadas
A Oasis Security recomenda que organizações adotem medidas imediatas de proteção. É essencial obter visibilidade sobre o uso de assistentes de IA em toda a empresa, realizando um inventário completo. As integrações e permissões dos agentes devem ser rigorosamente auditadas, desativando conexões desnecessárias que ampliem a superfície de ataque. A conscientização dos usuários sobre os riscos de injeção de prompt também é fundamental, considerando que links compartilhados e conteúdo colado podem conter instruções ocultas.
