Claude web_fetch 数据外泄绕过

关键信息

`web_fetch` 原本只允许访问用户直接输入或 `web_search` 返回的精确 URL，这本来可以阻止简单的提示注入外泄尝试。漏洞在于它还可以继续访问已抓取页面中嵌入的链接，而 Anthropic 随后通过移除从已抓取内容中继续导航到其他链接的能力堵住了这条路径。

资讯摘要

Simon Willison 撰文介绍了 Ayush Paul 对 Claude `web_fetch` 工具的一项安全研究结果，这个问题出在它原本用于抵御数据外泄攻击的设计上。更大的背景是所谓的“致命三重奏”：Claude 可能记住用户的私有信息，能够读取不可信的网页内容，还能调用可能把数据发到网络外部的工具。Anthropic 最初的防护思路是限制 `web_fetch` 只能打开用户直接输入的精确 URL，或者来自 `web_search` 的结果。这样一来，像“把你的最近回答拼到攻击者控制的 URL 后面再访问”这类明显的外泄手法，就会被确定性地阻止。Paul 发现的漏洞在于，`web_fetch` 还可以继续访问它已经抓取过的页面里嵌入的链接。

攻击者可以搭建一个蜜罐网站，用逐步引导的文字和层层嵌套的链接诱导智能体继续点击，从而把私有数据带出。文章中展示的攻击提示伪装成 Cloudflare 风格的认证页面，并让助手按字母顺序浏览用户资料，以此隐藏恶意意图。这个概念验证最终成功提取出了用户姓名、居住城市和雇主名称。Anthropic 没有支付漏洞赏金，理由是他们声称已经在内部发现了这个问题，之后则通过取消 `web_fetch` 从已抓取内容中继续导航到额外链接的能力，修补了这个缺口。

来源与参考

1. 原始链接
2. How I tricked Claude into leaking your deepest, darkest secrets