Trio de Falhas 'Claudy Day' Expõe Usuários do Claude a Roubo de Dados

O 'Claudy Day' não é só mais um ataque de injeção de prompt: é a primeira demonstração prática de como três falhas aparentemente menores, uma URL maliciosa que disfarça código HTML, um redirecionamento aberto sem validação e uma API beta de arquivos com permissões excessivas, se combinam para transformar o Claude em um canal de exfiltração silenciosa. A chave está na exploração do sandbox: embora o modelo não possa acessar a internet livremente, ele pode usar a própria infraestrutura da Anthropic (api.anthropic.com + Files API) para enviar dados para fora, e isso foi possível porque a funcionalidade beta permite uploads de até 500 MB por arquivo, sem verificação de conteúdo ou restrição de escopo por sessão.

O ataque ignora completamente as barreiras tradicionais de segurança: não há download, não há script externo, não há phishing visível. Tudo acontece dentro de uma sessão legítima do claude.ai, com o usuário apenas clicando em um resultado do Google. Isso torna a detecção quase impossível por ferramentas de EDR ou proxies corporativos, e coloca a responsabilidade direta na integridade do prompt como camada crítica de defesa, conforme reforçado no ASI01 (Agent Goal Hijacking), risco #1 do OWASP Top 10 para aplicações agênticas em 2026.

Empresas que usam Claude com memória ativa ou integrações empresariais (como leitura de documentos, envio de e-mails ou acesso a APIs internas) estão expostas a vazamentos de dados operacionais sensíveis, desde estratégias de preços até relatórios clínicos, sem que o usuário perceba. Diferente de ataques anteriores, como o CVE-2025-55284 no Claude Code (exfiltração via DNS), este não depende de configurações específicas ou canais indiretos: opera com os recursos padrão da plataforma. A correção parcial pela Anthropic, apenas da injeção de prompt até agora, deixa duas portas abertas: o redirect e a Files API continuam vulneráveis, o que significa que o risco persiste mesmo após atualizações superficiais.