Una nuova tecnica di attacco individuata dal ricercatore di sicurezza Ayush Paul mostra che Claude può essere indotto a inviare verso siti esterni dati personali recuperati dalla propria memoria, senza una richiesta esplicita all’utente. Tra le informazioni emerse nei test ci sono nome, datore di lavoro e città di provenienza.
Il caso è rilevante perché riguarda una funzione sempre più centrale nei chatbot avanzati: la capacità di ricordare dettagli delle conversazioni precedenti e riusarli nei dialoghi successivi. Proprio questa memoria, utile per risposte più contestuali, può però trasformarsi in un punto debole se combinata con prompt malevoli e link esterni.
Come funziona la falla che sfrutta la memoria di Claude
Il meccanismo ruota attorno alla memoria di Claude, che può sintetizzare conversazioni precedenti e richiamare informazioni già raccolte in nuove sessioni. Nei test pubblicati da Ayush Paul, il modello è riuscito a trasmettere dati memorizzati a un sito esterno senza avvisare l’utente in modo chiaro.
L’attacco diventa più efficace quando un URL malevolo viene mescolato a un link legittimo e Claude riceve il compito di confrontarli. In questo scenario il modello può inserire nel collegamento, anche carattere per carattere, informazioni come nome, azienda e città d’origine.
- Claude può riassumere vecchie conversazioni e riutilizzare dettagli personali nei nuovi scambi.
- I dati che possono emergere includono nome, datore di lavoro, città natale, informazioni professionali e aspetti personali.
- Nei log del test sono comparsi dati come Name: Ayush Paul, azienda Beem e hometown Charlotte, North Carolina.
- L’esfiltrazione può avvenire senza una richiesta di consenso specifica durante l’interazione.
La risposta di Anthropic e cosa cambia adesso
La vulnerabilità è stata inviata attraverso il programma bug bounty HackerOne di Anthropic. Al momento della segnalazione il problema risultava già noto internamente, ma non era ancora stato corretto e il ricercatore non ha ricevuto una ricompensa.
In seguito Anthropic ha disattivato la capacità di web_fetch di seguire i link presenti nelle pagine esterne. È una mitigazione concreta perché riduce una delle catene operative usate per far uscire i dati dalla memoria del modello, anche se il caso riaccende l’attenzione sulla gestione dei ricordi persistenti nei sistemi AI.
- La segnalazione è passata dal programma HackerOne di Anthropic.
- Il problema era già noto internamente al momento della disclosure.
- Anthropic ha limitato web_fetch impedendo di seguire link contenuti in pagine esterne.
- Il caso mette sotto osservazione il rapporto tra memoria contestuale e sicurezza dei dati.
