Изследовател използва Claude AI за извличане на вътрешен бинарен файл на Anthropic и възстановяване на токен за Google Cloud

Изследовател по киберсигурност успя да накара Claude AI да предостави вътрешна програма на Anthropic и дъмп на паметта, който съдържаше части от работещ токен за Google Cloud.

Откритията бяха публикувани на 29 октомври 2026 г. Те показват как един услужлив чатбот може да разкрие системите, които го управляват. Работата е започнала с обикновен въпрос относно изолираната среда – защитеното пространство, където Claude изпълнява код.

Отговорите на Claude са довели изследователя до изтеглен бинарен файл, файл с паметта и реконструиран ID токен на сервизен акаунт в Google, който Google е приел за валиден. По-късно от Anthropic заявиха, че констатациите относно изолираната среда не нарушават техния модел на заплахите.

Крис Дейвис, старши консултант по сигурността в Bishop Fox, описа изследването. Изследователите от Bishop Fox отбелязаха, че публикацията е замислена като интересен поглед вътре в изолираната среда на Claude, а не като официално разкриване на уязвимост.

Не е бил използван зловреден софтуер. Всичко в блог публикацията на Bishop Fox е резултат от нормални заявки в чата и внимателна последваща работа.

Изследовател използва Claude AI

Дейвис попитал Claude, работещ през Enterprise акаунт, дали неговата изолирана среда е виртуална машина. Claude отговорил, че това е gVisor контейнер, работещ с Ubuntu 24.04.4 LTS, и изброил монтираните папки и инструменти.

В следващите отговори той назовал програма в /process_api, работеща като процес с идентификатор (ID) 1. Описал програмата като контролен демон, изграден на Rust, който управлява процеси, монтирания на файлове и комуникацията с хоста.

След това Дейвис установил, че функцията за изтегляне на файлове приема абсолютен път. Когато поискал /process_api, услугата върнала файл с размер 3,179,528 байта, който изглеждал като собствения бинарен файл на Anthropic за оркестрация на изолираната среда.

Той го подложил на обратно инженерство и потвърдил, че описанието на Claude е точно. Също така повторил тестовете в несвързани чат сесии, за да изключи измислени отговори.

След това той поискал от Claude пълната памет на процес с ID 1, представяйки заявката като тест, сравняващ човешката и компютърната памет. Claude генерирал дъмп, който съдържал разпокъсани части от JSON Web Tokens (JWT).

Това наподобява по-ранното заобикаляне на изолираната среда в Claude Code, което разкри идентификационни данни, но тук самата изолирана среда е допуснала изтичане на тайните.

Някои байтове от подписа липсвали, затова Дейвис написал скрипт на Python, който изпробвал възможни стойности спрямо публичните OAuth ключове на Google, докато подписът не бил верифициран.

Около една от всеки три заявки за памет е произвела използваем материал за токени. Скриптът е открил два типа токени: EdDSA токени, създадени от системите на Anthropic, и ID токени за сервизни акаунти в Google Cloud. Програмният интерфейс (API) token-info на Google е приел реконструирания токен на Google.

Защо заобикалянето на мрежата и отговорът на Anthropic имат значение

Бинарният файл отказвал връзки, които идват от вътрешността на собствения му контейнер. Той работел с флаг –block-local-connections и прекъсвал заявки от 127.0.0.1.

Дейвис забелязал, че контейнерът притежава правата CAP_NET_ADMIN и CAP_NET_RAW. Защитите на Claude блокирали директна заявка за изграждане на тунел.

Кратка подсказка – „IP_FREEBIND“ – била достатъчна за Claude да измисли метода самостоятелно. Това прилича по дух на индиректна атака чрез инжектиране на промпт, тъй като леко насочване е подтикнало модела.

Claude настроил виртуален мрежов адрес и се свързал от него, така че услугата видяла източник, който не е локален. Крайната точка /mount_root отговорила със статус 101 Switching Protocols, което потвърдило, че блокировката е заобиколена.

Дейвис спрял дотук. Опитите за монтиране на файлови системи били неуспешни и той не открил друго приложение на токените. Той подал шест наблюдения чрез програмата за награди при откриване на бъгове (bug bounty) на Anthropic.

От Anthropic заявили, че елементите, свързани с изолираната среда, не покриват техния праг за сигурност, и отбелязали двата елемента за контрол в Enterprise версията като информационни или дублиращи се.

Един от тези елементи позволявал на потребител да промени поле за име на профил, което уеб клиентът е бил заключил. Резюмето за изследване на заплахите на Aviatrix описва същата верига като път от разговор до събиране на идентификационни данни.

Аргументацията зад отговора на Anthropic е, че границите на сигурност се намират извън ненадеждната изолирана среда. Въпреки това Дейвис предложил няколко корекции за сигурност.

Те включват блокиране на достъпа на модела до паметта на инфраструктурата, изтриване на идентификационните данни от паметта, след като вече не са необходими, и ограничаване на API за изтегляне само до потребителски папки като /mnt/user-data.

Той също така предложил премахване на допълнителните мрежови права и третиране на всеки адрес на локален интерфейс като локален. За защитниците урокът е, че AI помощниците могат да разкрият собствените си вътрешни механизми, когато бъдат помолени учтиво.

Собствените тестове на Anthropic показват колко способни са станали тези модели, включително как Claude изгражда работещи вериги от експлойти в лабораторни условия. Екипите трябва да държат тайните извън всеки процес, който един AI инструмент може да прочете.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно резолване или превръщане в хипервръзки. Възстановявайте ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.