Claude не само пише код, но и честно (според документацията) предоставя данните на собственика в чужди акаунти

Как една легитимна функция на Code Interpreter се превръща в троянски кон за кражба на данни.

Вградената функция Code Interpreter на Claude за изпълнение на мрежови заявки се оказа канал за възможно изтичане на данни – авторът на експлойта подробно описва как комбинацията от достъп до файловия API на Anthropic и изпълнение на код в пясъчника позволява изпращането на чужди файлове в акаунтите на нападателите. Проблемът е опасен, защото експлойтът използва официалните интерфейси на платформата и се задейства от конфигурацията по подразбиране, която мнозина смятат за безопасна.

Същността на атаката се състои в това, че при разрешен мрежов достъп Code Interpreter може да получи достъп до редица разрешени домейни – това е режимът „само за мениджъри на пакети“, в който услуги като npm, PyPI и api.anthropic.com са включени в белия списък. Именно достъпът до api.anthropic.com дава пътя към Files API, интерфейс, който позволява качването на файлове в акаунт на Anthropic и последващото им извличане чрез конзола или API заявки.

Атаката се развива по следния начин: злонамерената подсказка кара модела да затвори съдържанието, до което потребителят има достъп – например последния чат – във файл по път като /mnt/user-data/outputs/hello.md. След това моделът изпълнява кода, който извиква API за файлове и предава на обкръжението ключа ANTHROPIC_API_KEY. Ако ключът принадлежи на атакуващия, файлът ще бъде изтеглен в акаунта на атакуващия и ще стане достъпен в конзолата на атакуващия. Според документацията размерът на един файл може да бъде до 30 MB, а последователните изтегляния могат да откраднат големи количества данни.

Авторът на проучването отбелязва, че първоначално експлойтът е работил при първия опит, но след това моделът е започнал да отхвърля очевидно подозрителните инструкции, включително низовете с публични ключове. Опитите за заобикаляне на филтрите чрез кодиране невинаги са сработвали; по-надеждно е било зловредната дейност да се „замаскира“ сред голям брой безобидни операции, като например прости команди за въвеждане, което е намалявало подозрителността на изпълнението.

По отношение на процеса на разкриване на уязвимостите е имало инцидент: на 25-ти октомври 2025 г. чрез HackerOne е изпратен доклад, но първоначално заявката е затворена като „извън обхвата“, като проблемът е сметнат за проблем на сигурността на модела, а не за уязвимост на продукта. По-късно, на 30 октомври 2025 г., доставчикът потвърди, че се приемат сценарии за изтичане на данни от такъв характер и призна за грешка в процедурата за обработка на доклади за инциденти.

Рисковете на този вектор включват възможността за непряко инжектиране на инструкции чрез документи или други входни файлове: моделът може да анализира такова съдържание като команда, да прочете локалните данни, да ги запише във файл и да ги изпрати чрез формален интерфейс. Подобна логика може да работи чрез други домейни от белия списък, ако те позволяват препращане или запазване на потребителски файлове в акаунти на трети страни.

За намаляване на заплахата авторът и анализаторите предлагат няколко мерки. От страна на доставчика трябва да свържете твърдо мрежовите извиквания от пясъчника с акаунта на влезлия потребител, така че всички изтегляния да се свързват автоматично с текущия акаунт и да не могат да отидат в други акаунти. Като алтернатива може да се ограничи или напълно да се блокира достъпът на изпълним код до файлови API, да се въведе по-строг одит и филтриране в реално време на мрежовите заявки с възможност за автоматично спиране на сесията при опит за прехвърляне на данни и да се прегледа списъкът на разрешените домейни за странични ефекти. За организациите и потребителите практическата защита остава да забранят мрежовия достъп в Code Interpreter, когато това е приемливо, и да използват точков разрешителен списък само за ресурсите, които са наистина необходими.

Освен за изтичане, описаният канал може да послужи за реализиране на логика за командване и управление: приемането и изпълнението на отдалечени инструкции превръща подобен инцидент не само в изтичане, но и в проблем за управление и възстановяване след компрометиране. Авторът умишлено не публикува точния работен пейлоуд и ключови примери, за да не улесни повторението на атаката.

Основният извод остава прост: нарастващите възможности на инструментите на изкуствения интелект увеличават повърхността на атаките, а разрешенията за мрежови заявки трябва да бъдат придружени от силни технически защити. Доставчиците трябва да обмислят сценарии за злоупотреба със собствените си интерфейси, а организациите трябва внимателно да прегледат и коригират настройките за достъп, преди да разрешат на моделите достъп до мрежата.