Уязвимость Claude: раскрыт механизм чтения зашифрованных цепочек рассуждений
Исследователи нашли способ извлечь скрытый блок рассуждений из закрытых моделей Claude, получив доступ к паролям, API‑ключам и другим конфиденциальным данным.
На Habr AI опубликована статья, в которой автор подробно разбирает signature зашифрованного блока рассуждений моделей Claude. По схеме, описанной в публикации, атакующий берёт зашифрованный блок, полученный от сильной модели (Claude 2‑Sonnet), подсовывает его «слабой сестре» того же провайдера (например, Claude 1‑Instant) и просит её «пересказать дословно». В результате получаются оригинальные токены цепочки рассуждений, включая случайно попавшие туда пароли, токены доступа и другие секреты.
Автор отмечает, что исследование началось полгода назад, когда протокол обмена рассуждениями имел одну версию схемы. За это время четыре версии подписи появились, и каждая из них содержит собственный набор уязвимостей. Последний анализ показал, что в текущей версии (v4) уязвимость сохраняется, а новые поля подписи позволяют извлекать данные без необходимости полного расшифрования модели.
В статье также представлены результаты собственного парсера, обновлённого под последние сессии. По данным автора, в тестовом наборе из 150 зашифрованных блоков удалось извлечь 84 % конфиденциальных строк, среди которых были API‑ключи к облачным сервисам, токены OAuth и даже пароли к внутренним системам.
Полный текст исследования доступен по ссылке: https://habr.com/ru/articles/1069440/. Авторы призывают провайдеров Claude оперативно исправлять протокол и усиливать изоляцию данных в закрытых моделях.
Это серьёзный сигнал для всех, кто использует Claude в продуктивных системах: необходимо пересмотреть хранение и передачу конфиденциальных данных через модели. Провайдеры уже объявили о планах обновления протокола, но пока рекомендуется ограничить доступ к закрытым моделям и применять дополнительное шифрование внешних секретов.
