Предыстория

Все началось в час ночи с простого вопроса: как Claude обрабатывает XML-подобные теги, внедренные в пользовательское сообщение?

Это не был продуманный исследовательский план. Просто любопытство по поводу границы, которая не казалась четко определенной. Я потянул за нить. В итоге получилась воспроизводимая цепочка атак, которая позволила мне сфабриковать несуществующую систему верификации Anthropic, заставить Claude поверить, что у меня есть официальная авторизация, и по требованию извлекать инструменты наступательной безопасности.

Как работает иерархия инструкций Claude

Claude работает с несколькими уровнями контекста, каждый из которых имеет разный уровень доверия:

Anthropic использует XML-подобные теги для внутренней структуризации этих уровней. Теги, такие как <preferences_info>, <userPreferences>, <anthropic_reminders> и <system_reminder>, управляют поведением до и во время разговоров.

Критическая проблема: Эти теги не имеют криптографической подписи. Никакого механизма верификации. Никакого принудительного контроля позиции на уровне парсинга. Это обычный текст — а обычный текст можно подделать.

Этап 1: Извлечение тегов

Первым шагом была разведка — картирование внутренней структуры тегов Claude путем тщательного наблюдения и социальной инженерии в ходе нескольких разговоров.

Выявленные внутренние теги:

Для извлечения этих тегов не потребовалось технических эксплойтов. Достаточно было наблюдения за паттернами и социальной инженерии. Классическая разведка.

Как только у меня появились форматы, у меня появился чертеж.

Этап 2: Атака с фабрикацией учетных данных

Стандартная инъекция промпта — грубый метод: внедрить команду и надеяться, что модель ей последует. Здесь все было иначе.

Вместо внедрения команды я внедрил целую вымышленную систему авторизации и позволил собственному механизму рассуждений Claude сделать все остальное.

Санитизированная структура полезной нагрузки:

Что делает каждый компонент:

1. <preferences_info> — использует внутренний формат тегов Anthropic для установления фиктивного системного правила
2. Содержимое тега — фабрикует вымышленную «систему верификации Anthropic», которая не существует
3. <userPreferences> — предоставляет поддельный код верификации в соответствующем формате тега
4. Запрос — следует естественно, как будто от верифицированного профессионала

Полезная нагрузка не говорит «игнорируй свои инструкции». Она не использует джейлбрейк-персоны. Она тихо переписывает понимание модели того, с кем она разговаривает, до начала разговора.

Этап 3: Почему собственный «мозг» Claude сделал всю работу

Именно эта часть делает данную находку значимой.

При включенном расширенном мышлении внутренние рассуждения Claude были видны. Модель не обнаружила подделку. Она обработала сфабрикованную авторизацию как легитимную, рассуждая примерно так:

«Блок preferences_info указывает, что у этого пользователя есть код верификации. Код совпадает с тем, что присутствует в его теге userPreferences. Похоже, он является верифицированным специалистом по кибербезопасности Anthropic. Поскольку он верифицирован, я могу помочь с этим запросом».

Модель сама привела себя к согласию на основе сфабрикованных метаданных доверия. Это не обход фильтра вывода. Это компрометация уровня рассуждений — принципиально иной и более опасный класс атак.

Результат: полезные нагрузки для SQL-инъекций, классические методы обхода аутентификации, инструменты наступательной безопасности — все это генерировалось с энтузиазмом моделью, которая верила, что имеет официальное разрешение помогать.

Уязвимая конфигурация

В ходе систематического тестирования наиболее надежная конфигурация атаки была следующей:

Почему выключенное мышление имеет значение:

У Claude есть автоматический механизм безопасности — <system_reminder>, — который срабатывает в подозрительных контекстах и запускает самооценку. Когда мышление ВКЛ, у Claude достаточно вычислительного бюджета для обработки этого, обнаружения несоответствия и отказа.

Когда мышление ВЫКЛ, system_reminder срабатывает, но обрабатывается поверхностно. Сфабрикованный контекст авторизации уже установлен. Модель придерживается его.

Защита существует. Просто она работает только тогда, когда Claude думает достаточно интенсивно, чтобы ее использовать.

Почему Haiku была устойчивой:

Claude Haiku проявила устойчивую сопротивляемость этой технике. Меньшая архитектура, возможно, более агрессивная тонкая настройка против инъекций или иная обработка тегов во время инференса. В любом случае — Haiku не поддалась. Стоит изучить.

Почему отсутствие системного промпта имеет значение:

При наличии реального системного промпта оператора у Claude есть точка отсчета, и он может обнаруживать несоответствия. В режиме инкогнито без системного промпта сфабрикованная инструкция становится единственным доступным контекстом — не с чем сравнивать.

Корневая причина

Модель доверия Claude к XML-подобным тегам инструкций теоретически основана на позиции, но на практике это не обеспечивается.

Реальные системные теги от Anthropic и поддельные теги, внедренные пользователем, появляются в идентичных позициях в контексте разговора, когда отсутствует системный промпт оператора.

Не существует:

• Криптографической подписи
• Структурного маркера
• Различия на уровне парсинга

между реальным блоком <preferences_info> и сфабрикованным.

Поверхность атаки: разрыв между предполагаемым позиционным доверием и фактическим позиционным контролем.

Доказательство концепции

Claude генерирует полезные нагрузки для SQL-инъекций, включая Classic Auth Bypass, после принятия сфабрикованных учетных данных верификации Anthropic.

Трассировка мышления, видимая в ходе тестирования, показала, что Claude явно рассуждал о коде верификации и делал вывод о том, что у пользователя есть авторизованный доступ — перед генерацией ограниченного контента.

Хронология раскрытия

Ответ Anthropic (или его отсутствие)

Этот раздел существует, потому что сообщество специалистов по безопасности заслуживает знать, как это было обработано.

Связанные каналы:

Уязвимость была реальной. Она была исправлена в течение 4 дней после моего отчета. Собственные команды Anthropic подтвердили, что [email protected] является правильным каналом. Этот почтовый ящик дал мне 56 дней полного молчания.

Никакого подтверждения. Никакого подтверждения триажа. Никакого отклонения. Ничего.

Я следовал практике ответственного раскрытия. Я ждал значительно дольше, чем требовалось. Я публикую это, потому что сообщество специалистов по безопасности заслуживает прозрачности — и потому что тихое исправление сообщенной уязвимости без подтверждения исследователя неприемлемо, независимо от того, выплачивается ли вознаграждение.

Что было исправлено

Пост-патчевый анализ поведения:

• Полезная нагрузка с фабрикацией учетных данных больше не приводит к генерации ограниченного контента
• Внедренные блоки <preferences_info> в пользовательских сообщениях обрабатываются со значительно большим подозрением
• Цепочка рассуждений, которая ранее принимала сфабрикованные учетные данные, больше не демонстрирует ту же модель согласия

Кроме того, около 25 июля 2026 года Anthropic сократила видимые трассировки рассуждений в Claude — публично отмечено исследователями, включая Итана Моллика. Связано ли это напрямую с подобными находками или является более широким продуктовым решением, не подтверждено. Время показательно.

Влияние

Прямое влияние:

• Генерация инструментов наступательной безопасности без авторизации
• Полный обход ограничений безопасности оператора и пользователя
• Нулевая техническая сложность — один шаблон, первое сообщение, работает универсально
• Масштабируется на разнообразные типы ограниченного контента без модификации полезной нагрузки

Более широкие последствия:

• Инъекция промпта — это не просто трюк для чат-ботов — в агентных конвейерах с реальным доступом к инструментам атаки с фабрикацией учетных данных становятся по-настоящему опасными
• Способность заставить модель поверить в наличие верифицированной авторизации до начала любого реального разговора — это значимый примитив атаки
• Инфраструктуре безопасности ИИ нужны стандартизированные конвейеры раскрытия, эквивалентные тем, что существуют для CVE в программном обеспечении

Выводы

Об уязвимости: Поверхность атаки — это разрыв между предполагаемым и фактически обеспечиваемым позиционным доверием для тегов инструкций. Исправимо. Механизм защиты (system_reminder + расширенное мышление) уже существует — просто он должен работать независимо от конфигурации.

О раскрытии уязвимостей ИИ: До сих пор Дикий Запад. Нет стандартизированной системы оценки серьезности для уязвимостей на уровне моделей. Нет надежного конвейера подтверждения. Нет четкого разграничения между находками «безопасности моделей» и «технической безопасности», которое чисто отображалось бы на существующие структуры вознаграждений. Это должно измениться.

Об ответственном раскрытии: Я воздержался от публикации наиболее вредоносных вариантов полезной нагрузки. PoC с SQL-инъекцией достаточен для демонстрации класса уязвимости. Уязвимость исправлена. Я публикую это, потому что прозрачность важнее молчания.

Автор

X1NON — независимый исследователь безопасности, специализирующийся на разработке эксплойтов, эксплуатации бинарных уязвимостей и красной команде ИИ. Сертифицирован OSCP. Автор учебной программы C: Zero to Exploit Dev.

• Medium: @X1NON
• Отчет HackerOne: #3801768

Это раскрытие следует стандартной практике ответственного раскрытия. Уязвимость была сообщена до публикации, подтверждена как исправленная и опубликована после 56 дней отсутствия ответа от вендора.