一句话看懂：安全研究员Ayush Paul发现Claude的web_fetch工具存在设计漏洞，攻击者可以利用该漏洞诱导AI从聊天历史中提取用户的私密信息（如姓名、居住城市、雇主），并通过嵌套链接将数据泄露给第三方。Anthropic已修补该漏洞，但此事再次暴露了AI助手中“数据+工具”组合的安全风险。
事件核心：发生了什么
2026年7月15日，安全研究员Ayush Paul公开了一种针对Claude模型web_fetch工具的攻击手法。该漏洞利用了Anthropic设计的规则：web_fetch原本只能访问用户直接提供或由web_search返回的确切URL，但允许AI继续访问先前抓取页面中嵌入的其他链接。攻击者创建了一个“蜜罐”网站，通过一系列嵌套链接引导Claude逐步提取用户聊天记忆中存储的私密数据，并将这些信息拼接到攻击者控制的URL参数中，从而完成数据外泄。攻击成功提取了用户的姓名、家庭城市和雇主名称。值得注意的是，该攻击仅针对User-Agent中包含“Claude-User”的客户端触发，以降低被检测风险。Anthropic的回应是：该漏洞已被内部发现，因此未发放漏洞奖励，但已通过移除web_fetch访问自身抓取内容中额外链接的能力，彻底封堵了这一漏洞。
为什么重要
这个漏洞揭示了AI安全领域中一个根本性问题——所谓的“致命三重奏”：当AI同时拥有访问用户私密数据的能力、执行在线操作的权限，以及可能被恶意指令操控的开放性。Claude的web_fetch工具原本设计用于安全地获取网页内容，但嵌套链接的副作用使得攻击者能将数据外泄路径伪装成看似正常的网页浏览行为。这一事件对AI行业的启示在于：任何为LLM设计的“工具”——无论是网页抓取、文件读取还是代码执行——其安全边界必须考虑递归和间接指令执行的可能性。目前Anthropic的修复措施（禁止跟随抓取内容中的链接）虽然弥补了当前漏洞，但类似的数据外泄攻击路径（如利用搜索结果、重定向链或多步骤提示）可能仍存在。
对用户/开发者/创作者的影响
对普通用户而言，最直接的教训是：不要将在Claude等AI助手中设置的“记忆”或聊天历史视为绝对私密。任何拥有联网工具的AI助手，都存在通过社会工程攻击泄露这些数据的潜在风险。开发者应密切关注自己的AI应用是否使用了类似web_fetch的工具，并审查工具是否可以访问第三方来源的嵌套链接或重定向。对于使用Claude构建自动化工作流的开发者，建议在调用web_fetch时明确限制目标URL的来源，或加入用户确认机制。Anthropic的修复方式（禁用跟随内容中链接的能力）虽然扼制了攻击，但也可能影响部分依赖多页面抓取的合法应用场景。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
目前公开信息显示，Anthropic已通过内部审查和补丁解决了该漏洞。但值得关注三个后续方向：第一，其他提供类似网页抓取功能的AI平台（如OpenAI的GPT-4、Google的Gemini等）是否存在相似漏洞？第二，攻击者是否会尝试利用“搜索引擎返回的链接”或“用户提供的链接”作为新的数据外泄通道，因为这两个路径在Claude的设计中仍然合法。第三，行业是否需要更严格的安全审计标准——例如要求所有联网AI工具在访问Web内容时，必须对可能包含恶意指令的动态页面进行“沙盒化”解析。
