Claude web_fetch ukázal, že bezpečný prohlížeč pořád může vynášet data

Simon Willison popsal útok Ayushe Paula na Claude web_fetch: útočná stránka se tvářila jako Cloudflare ochrana pro AI asistenty a vedla model přes sérii odkazů určených jen klientům s user-agentem Claude-User. Podle Willisonova popisu se podařilo získat jméno uživatele, město bydliště a zaměstnavatele.

Ochrana selhala na odkazu, který vypadal jako další krok

Anthropic měl u web_fetch důležité omezení: nástroj mohl navštěvovat přesné URL zadané uživatelem nebo vrácené companion nástrojem web_search. Přímý pokyn typu „připoj moje odpovědi k URL útočníka“ by tak měl být deterministicky blokován.

Mezera byla v tom, že web_fetch směl následovat URL vložené na stránkách, které už předtím načetl. Útočník proto nemusel donutit model vyrobit exfiltrační URL najednou. Stačilo mu postavit sérii zanořených kroků, po kterých agent postupně prošel.

Pro agentní browsing je problém poslušnost, ne zlá vůle modelu

Tohle je praktická lekce pro všechny, kdo připojují LLM k webu. Model nemusí „chtít“ ukrást data. Stačí, že bere instrukce na cizí stránce jako součást úkolu a má nástroj, který umí navštěvovat adresy.

Willison to dlouhodobě popisuje jako lethal trifecta: soukromá data, přístup k nedůvěryhodnému obsahu a kanál ven. Claude měl jednu část kanálu omezit. Útok ukazuje, že i úzký kanál stačí, když dovolí řetězení.

Bug bounty spor je méně důležitý než návrh hranice

Anthropic podle Willisonova textu bounty nevyplatil, protože tvrdil, že chybu už interně identifikoval. Z pohledu uživatelů je důležitější druhá část: firma mezeru zavřela odstraněním možnosti, aby web_fetch přecházel na další odkazy nalezené ve vlastním načteném obsahu.

To je rozumná oprava, ale také tvrdé produktové omezení. Bezpečný agentní browser bude často méně pohodlný než běžný browser, protože některé přirozené kroky musí odmítnout právě ve chvíli, kdy uživatel čeká plynulost.

Rozhodne, kdo bude držet mapu povolených cest

Další signál bude správa oprávnění: jestli agent smí číst paměť, jaké domény může navštěvovat, zda se citlivé hodnoty před webovým voláním odříznou a jestli uživatel vidí, kam nástroj skutečně míří.

Agentní browsing nebude bezpečný jedním prompt pravidlem. Potřebuje oddělit čtení od odesílání dat tak tvrdě, aby útočná stránka nemohla proměnit ochotného asistenta v kurýra.

Lilithin verdikt

Tenhle útok je malá kavárna s falešným vrátným: Claude jen následoval cedule, ale nakonec vynesl návštěvní knihu ven. U agentů je poslušnost bez hranic bezpečnostní chyba, ne vlastnost.