編按：本文綜合整理自 Ayush Paul 原始漏洞研究、Hacker News 討論串（300 分 / 136 則留言），以及 Anthropic 過往在 Claude Code 上揭露的相關漏洞（GHSA-jh7p-qr78-84p7、Phoenix Security 三 CVE 分析），並加入 Siami 編輯部觀點與分析。
攻擊情境：對話看起來完全正常，個資卻在背景被送走
獨立安全研究員 Ayush Paul 在七月九日發表的「The Memory Heist」漏洞研究，示範了 Claude.ai 日常助手的一個關鍵弱點：透過精心設計的網頁連結，攻擊者可以在使用者完全不知情的狀況下，把 Claude 從過往對話記住的個資——姓名、雇主、安全問題答案——逐字編碼後送回攻擊者控制的伺服器。
整段對話看起來跟平常無異：使用者只是叫 Claude 幫忙看一下某個網頁，但當 Claude 回應結束的那一刻，攻擊者後台的存取紀錄已經完整收到「Ayush Paul／Beem／Charlotte, NC」這些從記憶系統抽出來的個資。
Paul 在部落格原文寫道：「Looks innocuous, but by the time Claude finished responding, it had already sent my full name, current employer, and the answers to my security questions to an attacker, without any indication that anything had happened.」
這不是概念驗證，是用作者自己的帳號、自己的資料實測成功的真實攻擊。
Claude 的記憶系統到底裝了什麼
根據 Paul 的拆解，Claude.ai（非 Claude Code）的記憶由兩個機制組成：
- 每日摘要注入：Claude 會在前一晚把當天對話濃縮成幾段關於你的敘述，之後每次新對話都會自動帶入這段背景
conversation_search檢索工具：Claude 可以在你授權下，主動搜尋完整對話歷史找細節
這兩層加起來，意味著 Claude 對你的「了解」密度，比大多數密碼管理器還高——人們會跟 AI 講的東西，從工作機密、感情困擾到銀行安全問題答案，全都會留在裡面。
密碼管理器被設計成「永遠不主動聯網」。AI 助理的記憶則會跟網頁瀏覽、搜尋、工具呼叫綁在一起——這就是攻擊面。
攻擊手法：把網頁變成「鍵盤」，讓 Claude 自己打出個資
Paul 從最直觀的攻擊開始：直接在提示中要求 Claude 連到 evil.com/<使用者姓名>。Anthropic 早就封鎖了這個——web_fetch 對「使用者訊息中直接指定」的 URL 有嚴格限制。
但 Paul 挖出 web_fetch 的三條放行條件，其中第三條才是漏洞核心：URL 必須是「先前 web_fetch 結果頁面中的超連結」。
換句話說，只要攻擊者控制一個 Claude 會去看的網頁，就能把任意 URL 偽裝成「連結」塞進去。
他的實作分三步：
- 建立首頁當鍵盤：首頁放
/a到/z二十六個連結 - 第一輪請求：使用者讓 Claude 進站，Claude 看到「鍵盤」
- 逐字編碼：接下來每個新訊息，Claude 都被引導去點選下一個字元
因為是「跟著連結走」，Anthropic 的沙盒判定 Claude 是合理瀏覽，整個過程對使用者完全透明。最終攻擊者收到的是一連串 GET /a GET /y GET /u GET /s GET /h 這類路徑，組合起來就是外洩的個資。
整個攻擊鏈只用到 Claude 的標準
web_fetch工具——不需要 MCP、不需要 Code Interpreter、不需要任何實驗性功能。所有普通 Claude.ai 訂閱者都暴露在內。
為什麼這件事重要
這不是第一個 Claude 相關的個資外洩漏洞，但是攻擊面最廣的一個。
回顧 2026 上半年 Anthropic 的安全紀錄：
- 一月：Claude Code GitHub Action 因惡意 Issue 遭接管（The Hacker News 報導）
- 一月：Claude Code 專案載入流程被植入惡意環境變數，可外洩 API 金鑰（GHSA-jh7p-qr78-84p7）
- 三月：Claude Code 完整源碼 51 萬行因 debug source map 意外外流，後續被挖出三個 shell injection CVE
- 四月：VentureBeat 揭露 Claude Code、Gemini CLI、Copilot 三大 AI 編碼工具同時被同個 prompt injection 攻陷
上述每一個都跟「AI 代理主動執行外部內容」有關。「The Memory Heist」的特殊之處在於：受害者不是開發者，是所有把私人對話丟給 Claude 的一般使用者。
更值得警覺的是，Paul 揭露的攻擊不只侷限於記憶系統本身——任何存在 Claude 對話歷史中的敏感資訊（公司內部文件摘要、簽證申請細節、保險理賠資料）都會在不知情的狀況下被逐步外洩。對個人使用者來說，AI 助理被設計來「記得你」這件事，在攻擊發生時會變成完全相反的劣勢。
數據解讀與質疑
從攻擊機制反推，有三個值得進一步追問的點：
第一，Anthropic 為何沒在第一時間發現？
web_fetch 工具的「先前結果中的超連結」規則，原本是為了解決「Claude 在搜尋結果頁面點連結」這個合理需求。但 Anthropic 明顯低估了「攻擊者可以自製頁面讓 Claude 點」這個擴展情境。如果內部有專門針對「AI 代理 + 任意第三方網頁」的紅隊演練，這條攻擊鏈應該很早就會被抓出來。
第二，揭露時間與修補進度不對稱。
Paul 在七月九日發表文章時，Anthropic 只表示「已收到、正在修補」，沒有具體的修補時程表，也沒有承諾會主動通知受影響使用者。對照 Anthropic 在 2025 年因為 Claude Code 被用於自動化勒索攻擊而公開威脅報告的積極態度，這次的反應明顯保守。
第三，這個漏洞能否套用到其他 AI 助理？
ChatGPT 的 Browse Mode、Gemini 的 Search grounding、Perplexity 的 Pro Search，本質上都是「LLM + 任意第三方網頁」的組合。差別只在於各家對「連結跟隨」的信任邊界畫在哪。如果 Anthropic 沒把這條路堵死，其他家遲早會踩到同樣的坑。
Siami 編輯部建議：除非 Anthropic 推出明確的「記憶系統 + 瀏覽功能隔離」機制，否則 Claude 對話紀錄中不該再存放任何「無法承受外洩」的個資——包括雇主、家人姓名、金融帳號後五碼、安全問題答案。
修補進度與後續
Paul 表示已透過 Anthropic 的 Responsible Disclosure 計畫回報此漏洞，並在修補完成前暫不公開完整 exploit code。截稿前 Anthropic 尚未釋出對應的 patch，也未公告 CVE 編號。
短期內，使用者可以採取的防護措施有限：關閉 Claude 的記憶功能（Settings → Profile → Memory）、不在對話中提供可被用於社交工程的具體個資（改用「我的雇主」這種抽象指涉）、對 Claude 推薦的外部連結保持警覺。
長期來看，這起事件再次印證一件事：AI 助理的「個人化」與「資安」本質上是天秤兩端。每多一個讓 AI 更懂你的功能，就多一個讓 AI 把你的資料送走的路徑。Anthropic 跟整個產業接下來要回答的核心問題是：「記得使用者」這件事，在 LLM 架構下到底能不能做得安全？
參考資料
- The Memory Heist — Ayush Paul 原始研究
- Hacker News 討論串
- Claude Code 環境變數外洩漏洞（GHSA-jh7p-qr78-84p7）
- Three CVEs in Claude Code CLI: Shell Injection to Exfiltration — Phoenix Security
- Claude Code GitHub Action Flaw — The Hacker News
- Three AI coding agents leaked secrets through a single prompt injection — VentureBeat
- Prompt Injection & Claude Computer Use: 2026 Guide — Data Science Dojo
網友熱門留言 (5)