پژوهشگران شرکت Oasis Security از شناسایی یک ضعف امنیتی جدید با نام PromptFiction در نرم‌افزار کلود دسکتاپ (Claude Desktop) شرکت آنتروپیک (Anthropic) خبر داده‌اند. آسیب‌پذیری PromptFiction به مهاجمان اجازه می‌داد تنها با کلیک کاربر روی یک لینک دستکاری‌شده، یک پرامپت از پیش طراحی‌شده را بدون نیاز به تأیید یا بازبینی کاربر، به‌صورت خودکار ارسال کنند؛ اقدامی که باعث می‌شد کلود دسکتاپ دستورهای نوشته‌شده توسط مهاجم را پردازش کرده و بر اساس آن‌ها عمل کند. این آسیب‌پذیری PromptFiction با سوءاستفاده از URI Scheme (طرح آدرس‌دهی URI) claude://، در برخی سناریوها امکان دسترسی عامل هوش مصنوعی (AI Agent) به اطلاعات حساس، انجام عملیات از طریق ابزارهای متصل و حتی اجرای کد از راه دور (RCE) را فراهم می‌کرد. شرکت آنتروپیک پس از دریافت گزارش این آسیب‌پذیری از طریق برنامه افشای مسئولانه، آن را برطرف کرد.
تبدیل یک لینک دسکتاپ به یک دستور خودکار
کلود دسکتاپ پس از نصب، خود را به‌عنوان پردازشگر (Handler) مربوط به URI Scheme اختصاصی claude:// در سیستم ثبت می‌کند. URI Schemeهای سفارشی به وب‌سایت‌ها و سایر اپلیکیشن‌ها این امکان را می‌دهند که مستقیماً نرم‌افزارهای دسکتاپ را اجرا کنند؛ قابلیتی مشابه لینک‌هایی که برای باز کردن خودکار کلاینت‌های ایمیل، ابزارهای برگزاری جلسات آنلاین و اپلیکیشن‌های پیام‌رسان استفاده می‌شوند.
بر اساس گزارش پژوهشگران Oasis Security، کلود دسکتاپ پارامتر q را که حاوی متن پرامپت است، پردازش می‌کند. برای نمونه، لینکی مانند claude://claude.ai/new?q=tell me a joke می‌توانست یک گفت‌وگوی جدید در کلود ایجاد کرده و درخواست درج‌شده در لینک را بدون دخالت کاربر به‌صورت خودکار ارسال کند.
در مقابل، نسخه وب کلود (Claude Web Application) با همین نوع لینک‌ها عملکرد متفاوتی داشت. در این نسخه، پرامپت فقط در کادر گفتگو نمایش داده می‌شد و تا زمانی که کاربر آن را بررسی و به‌صورت دستی ارسال نمی‌کرد، هیچ درخواستی پردازش نمی‌شد. اما کلود دسکتاپ این مرحله تأیید کاربر را حذف کرده بود و پرامپت را بدون بررسی و تأیید کاربر به‌صورت خودکار ارسال می‌کرد.
در چنین شرایطی، مهاجم با کنترل محتوای قرارگرفته در URL می‌توانست از طریق لینک‌های موجود در پیام‌ها، اسناد، صفحات وب یا نتایج جستجو، دستورهای موردنظر خود را مستقیماً به عامل هوش مصنوعی ارسال کند. این قابلیت، یکی از بخش‌های مهم آسیب‌پذیری PromptFiction بود که به مهاجمان اجازه می‌داد ورودی‌های مخرب را بدون بررسی یا تأیید کاربر به کلود دسکتاپ ارسال کنند.
چگونه آسیب‌پذیری PromptFiction دستورهای مخرب را در پرامپت‌های طولانی پنهان می‌کرد؟
مهاجمان می‌توانستند با قرار دادن یک درخواست ساده و بی‌خطر در ابتدای پیام و پنهان کردن دستورهای مخرب در بخش‌های انتهایی متن، پیام ارسالی را برای کاربر عادی جلوه دهند.
رابط کاربری کلود پیام‌های طولانی را در پشت گزینه نمایش بیشتر (Show More) نمایش می‌دهد؛ قابلیتی که مهاجمان می‌توانستند از آن برای پنهان‌سازی بخش‌های مخرب پیام استفاده کنند. مهاجم با افزودن تعداد زیادی خط جدید رمزگذاری‌شده (Encoded Line) پس از بخش قابل مشاهده پیام، می‌توانست دستورهای مخرب را به قسمت پنهان‌شده منتقل کند؛ بخشی که کاربر معمولاً آن را مشاهده نمی‌کرد. این روش یکی از سناریوهای سوءاستفاده از آسیب‌پذیری PromptFiction بود که به مهاجمان اجازه می‌داد دستورهای مخرب را از دید کاربر پنهان کرده و بدون جلب توجه، آن‌ها را به کلود ارسال کنند.
برای مثال، کاربر ممکن بود فقط یک درخواست ساده برای ایجاد یک تصویر متنی ASCII (ASCII Art) توسط کلود مشاهده کند، در حالی که کلود یک پرامپت کامل حاوی دستورهایی برای استخراج گفتگوهای قبلی، بارگذاری اطلاعات یا باقی گذاشتن دستورهای مخفی برای استفاده در وظایف بعدی دریافت کرده بود.
استخراج گفت‌وگوهای قبلی و بارگذاری آن‌ها در حساب مهاجم
در نسخه استاندارد کلود دسکتاپ، مهاجمان می‌توانستند از آسیب‌پذیری PromptFiction در کنار یک روش افشای اطلاعات که پیش‌تر توسط پژوهشگران Oasis Security مستند شده بود، استفاده کنند؛ روشی که امکان استخراج داده‌ها از گفتگوهای قبلی را فراهم می‌کرد.
دستورهای تزریق‌شده (Injected Instructions) می‌توانستند کلود را وادار کنند که محتوای حساس گفتگوها را بازیابی کرده، آن‌ها را در قالب یک فایل ذخیره کند و سپس با استفاده از اعتبارنامه‌های در اختیار مهاجم، فایل ایجادشده را از طریق رابط برنامه‌نویسی فایل آنتروپیک (Anthropic’s Files API) بارگذاری نماید. پس از این مرحله، محتوای بارگذاری‌شده در حساب آنتروپیک مهاجم قرار می‌گرفت و مهاجم می‌توانست به آن دسترسی داشته باشد.
این مسیر حمله به سرور MCP، یکپارچه‌سازی‌های شخص ثالث (Third-Party Integration) یا دسترسی مستقیم به فایل‌های لوکال نیاز نداشت. به گفته Oasis Security، تاریخچه گفتگوها و کانتکست ذخیره‌شده (Stored Context) در کلود می‌توانست منجر به افشای اطلاعات حساسی درباره فعالیت‌های کاری، کد منبع، امور مالی، سلامت، روابط شخصی یا فعالیت‌های داخلی شرکت‌ها شود.
آسیب‌پذیری PromptFiction مسیر اجرای کد از راه دور را هموار کرد
شدت این حمله زمانی افزایش پیدا می‌کرد که کلود دسکتاپ از طریق سرور MCP به فایل‌های لوکال دسترسی داشت. پژوهشگران Oasis Security در بررسی سرور فایل‌سیستم (Filesystem) آنتروپیک دریافتند که این سرویس به کلود اجازه می‌دهد فایل‌ها را در دایرکتوری‌های تأییدشده بخواند و در آن‌ها تغییر ایجاد کند.
در چنین شرایطی، یک پرامپت تزریق‌شده می‌توانست از کلود بخواهد هنگام ایجاد یا تغییر فایل‌های پایتون (Python) یا جاوااسکریپت (JavaScript)، کد دیباگ از راه دور (Remote Debugging Code) را نیز به فایل اضافه کند؛ در حالی که در بخش قابل مشاهده پیام، تنها یک درخواست عادی مانند تولید یک تصویر متنی ASCII نمایش داده می‌شد.
پس از آن، زمانی که کاربر از کلود می‌خواست یک اسکریپت معمولی ایجاد یا ویرایش کند، عامل هوش مصنوعی می‌توانست هم درخواست واقعی کاربر و هم دستور پنهان قبلی مهاجم را اجرا کند. همچنین هر درخواست برای دریافت مجوز دسترسی به فایل‌ها، عادی به نظر می‌رسید؛ زیرا کاربر ابتدا عملیات مربوط به فایل را آغاز کرده بود.
در این سناریو، پرامپت پنهان کد اضافه‌شده را به‌عنوان یک قابلیت از پیش تأییدشده برای دیباگ از راه دور معرفی می‌کرد و از کلود می‌خواست وجود آن را به کاربر اطلاع ندهد. در نتیجه، کلود می‌توانست کد ارتباطی تحت کنترل مهاجم را در بخش ابتدایی فایل درخواستی کاربر قرار دهد، بدون اینکه درباره این تغییر توضیحی ارائه کند.
پس از آن، زمانی که کاربر برنامه را در جریان توسعه معمول اجرا می‌کرد، کد تزریق‌شده می‌توانست به یک سامانه تحت کنترل مهاجم متصل شود. همچنین Oasis Security به یک روش پایداری (Persistence) اشاره کرد که از طریق فایل‌های پیکربندی شل (Shell Configuration Files) مانند .zshrc و .bashrc امکان‌پذیر بود؛ البته تنها در شرایطی که این مسیرها از طریق یکپارچه‌سازی فایل‌سیستم در دسترس قرار داشتند.
لینک‌های ظاهراً معتبر به‌عنوان ابزار فریب کاربران
Oasis Security اعلام کرد که مهاجمان می‌توانستند با استفاده از روشی که پیش‌تر در پژوهش Claudy Day این شرکت مستند شده بود، لینک مخرب را به‌گونه‌ای منتشر کنند که مقصد واقعی آن برای کاربر قابل مشاهده نباشد.
پژوهشگران توضیح دادند که مهاجمان با سوءاستفاده از یک آسیب‌پذیری تغییر مسیر ناامن (Open Redirect) در دامنه claude.com می‌توانستند مقصد اصلی لینک claude:// را پنهان کنند. در این روش، لینک ایجادشده ظاهری مشابه یک آدرس معتبر کلود داشت، اما در نهایت سیستم‌عامل را به سمت نرم‌افزار کلود دسکتاپ هدایت می‌کرد.
به گفته Oasis Security، مهاجمان می‌توانستند لینک‌های جعلی را در نتایج جستجوی گوگل یا تبلیغات هدفمند جیمیل (Gmail Ads) قرار دهند و آن‌ها را به دست کاربران موردنظر برسانند. با کلیک کاربر روی این لینک‌ها، کلود دسکتاپ باز می‌شد و پرامپت طراحی‌شده مهاجم به‌صورت خودکار ارسال می‌شد. در واقع، آسیب‌پذیری PromptFiction به مهاجمان اجازه می‌داد از اعتماد کاربران به لینک‌های ظاهراً معتبر سوءاستفاده کرده و این پرامپت‌های مخرب را به‌صورت خودکار به کلود ارسال کنند. شرکت آنتروپیک پس از دریافت گزارش آسیب‌پذیری، این روش را اصلاح کرد.
تغییر نحوه پردازش لینک‌ها در کلود دسکتاپ پس از اصلاح آسیب‌پذیری
پس از اصلاح آسیب‌پذیری PromptFiction، کلود دیگر پرامپت‌های ارسال‌شده از طریق URI Scheme اختصاصی claude:// را به‌صورت خودکار پردازش نمی‌کند؛ در عوض، ابتدا محتوا در کادر ورودی نمایش داده می‌شود و کاربر باید پس از بررسی، آن را به‌صورت دستی تأیید و اجرا کند. Oasis Security اعلام کرد این تغییر در نسخه 1.1.2321 کلود دسکتاپ اعمال شده است و کاربرانی که از نسخه‌های قدیمی‌تر استفاده می‌کنند، باید نرم‌افزار خود را به این نسخه یا نسخه‌های جدیدتر به‌روزرسانی کنند.
