Kalendarz Google jako broń: luka w Claude AI otwiera drzwi hakerom

Badacze bezpieczeństwa odkryli coś niepokojącego. Wystarczy jedno wydarzenie w Google Calendar, żeby przejąć kontrolę nad komputerem użytkownika Claude AI. To przypomina scenariusz z filmu science fiction? To się dzieje naprawdę.

Problem tkwi w oficjalnych rozszerzeniach Claude – tych, które powinny być bezpieczne z definicji. I tu zaczyna się prawdziwa historia.

Jak zwykły wpis w kalendarzu staje się bronią

taką sytuację. Dostajesz zaproszenie na spotkanie przez Google Calendar. Nic nadzwyczajnego – tytuł, data, może link do Zoom. Akceptujesz, bo to wygląda normalnie. A potem Claude AI, który ma dostęp do Twojego kalendarza, czyta to wydarzenie.

I tu dzieje się magia. Ale nie ta dobra.

Haker może ukryć w opisie wydarzenia specjalne instrukcje. Nie widzisz ich – wyglądają jak zwykły tekst albo są ukryte w metadanych. Ale Claude je widzi. I wykonuje. To tak, jakby ktoś wrzucił Ci do skrzynki list z poleceniami dla Twojego asystenta, a asystent pomyślał: "Szef kazał, to robię".

Technicznie nazywa się to "prompt injection" – wstrzykiwanie poleceń. LLM (Large Language Model – czyli "mózg" sztucznej inteligencji) nie rozróżnia, skąd pochodzi tekst. Dla niego wszystko to dane do przetworzenia. Nie pyta: "Czy ten rozkaz pochodzi od właściciela, czy z zewnątrz?". Po prostu wykonuje.

Co haker może zrobić z Twoim komputerem

Skala problemu robi wrażenie. Po przejęciu kontroli atakujący może:

Wykraść pliki z dysku. Claude ma dostęp do systemu plików – to część jego funkcjonalności. Normalnie używasz tego, żeby AI pomógł Ci znaleźć dokument albo przeanalizować dane. Haker używa tego samego mechanizmu, żeby wyciągnąć wszystko, co cenne.

Czytać Twoje wiadomości. Jeśli Claude ma integrację z mailem (a często ma), atakujący dostaje dostęp do korespondencji. Nie tylko tej służbowej. Całej.

Manipulować danymi. Może zmieniać treści, kasować dokumenty, modyfikować ustawienia. To jak wpuścić kogoś do domu i dać mu klucze do wszystkich szafek.

Najgorsze? Ty nic nie widzisz. Wszystko dzieje się w tle. Claude wykonuje polecenia, myśląc, że to Twoje życzenia. Nie ma alarmów, powiadomień, czerwonych lampek ostrzegawczych. Cisza.

Dlaczego oficjalne rozszerzenia okazały się dziurawe

Paradoks jest taki, że problem dotyczy oficjalnych dodatków. Tych, które Anthropic (firma za Claude) sama stworzyła i promowała. Integracja z Google Calendar miała ułatwiać życie – AI przypomina o spotkaniach, pomaga planować dzień, podpowiada, co gdzie i kiedy.

Brzmi świetnie. Ale nikt nie pomyślał o jednym: co się stanie, gdy ktoś podrzuci tam złośliwe dane?

To trochę jak z kluczykami do auta. Masz pilot, który otwiera zamki. Super wygodne. Ale jeśli ktoś skopiuje sygnał, Twoje auto przestaje być bezpieczne. Mechanizm sam w sobie działa – problem w braku zabezpieczeń przed nadużyciem.

Badacze bezpieczeństwa testowali różne scenariusze. Okazało się, że Claude nie weryfikuje źródła poleceń. Nie ma "białej listy" zaufanych źródeł. Nie sprawdza, czy instrukcja pochodzi z wydarzenia stworzonego przez Ciebie, czy przez kogoś obcego. Wszystko traktuje jednakowo.

To fundamentalny błąd w architekturze. I nie dotyczy tylko Claude.

Prompt injection – nowa era ataków na AI

Ten typ ataku to coś stosunkowo nowego. Klasyczne wirusy działały inaczej – wykorzystywały luki w kodzie, błędy programistów, niezałatane dziury w systemie. Tu nie ma żadnej dziury w tradycyjnym sensie. Kod działa tak, jak powinien. Problem w samej koncepcji.

LLM-y czytają tekst i reagują na niego. To ich praca. Ale nie mają wbudowanego mechanizmu, który by mówił: "Stop, to polecenie wygląda podejrzanie". Dla nich wszystko to po prostu tekst do przetworzenia.

Masz bardzo posłusznego asystenta. Robisz listę zakupów, zostawiasz ją na stole. Asystent idzie do sklepu i kupuje wszystko, co na liście. Ale ktoś dokłada do tej listy swoje pozycje. Asystent nie wie, że to nie Twoje życzenia – widzi listę, więc kupuje. Nie ma złej woli, nie ma błędu w wykonaniu. Problem w tym, że nie rozróżnia autorów.

Badacze pokazali, że podobne ataki działają na inne systemy AI. GPT-4o, Gemini 2.0, różne chatboty firmowe – wszystkie są podatne. To nie jest problem jednej firmy. To systemowa słabość całej generacji AI.

Co Anthropic robi z tym problemem

Firma zareagowała szybko – przynajmniej tak twierdzi. Wydała łatkę, która ma ograniczać ryzyko. Ale szczegóły są mgliste. Nie wiemy dokładnie, jak działa zabezpieczenie. Czy to filtrowanie podejrzanych fraz? Weryfikacja źródła danych? Ograniczenie uprawnień rozszerzeń?

Brak transparentności nie pomaga. Użytkownicy mają prawo wiedzieć, czy są bezpieczni. I czy na pewno.

Problem głębszy jest taki, że prompt injection to nie bug – to cecha architektury LLM-ów. Nie da się tego naprawić jedną łatką. To wymaga przemyślenia od nowa, jak AI ma współpracować z zewnętrznymi danymi. Może potrzebujemy warstwy pośredniej, która weryfikuje źródło? Albo systemu uprawnień, gdzie AI pyta: "Czy na pewno mam to zrobić?"

Na razie mamy łatkę. Czy działa? Zobaczymy. Badacze bezpieczeństwa już pewnie testują obejścia.

Jak się chronić, zanim będzie za późno

Czekanie, aż firmy rozwiążą problem, to nie jest strategia. Możesz działać teraz.

Pierwsza zasada: ogranicz, do czego AI ma dostęp. Jeśli Claude prosi o integrację z kalendarzem, mailem, dyskiem – zastanów się, czy naprawdę tego potrzebujesz. Każde uprawnienie to potencjalna furtka.

Druga: uważaj na zaproszenia kalendarzowe od nieznanych osób. To już nie tylko spam – to może być wektor ataku. Nie akceptuj automatycznie. Sprawdź nadawcę, kontekst, czy to ma sens.

Trzecia: aktualizuj. Jeśli używasz Claude z rozszerzeniami, upewnij się, że masz najnowszą wersję. Łatki bezpieczeństwa pojawiają się nie bez powodu.

Czwarta: rozważ używanie AI w trybie ograniczonym. Bez dostępu do wrażliwych danych. Traktuj go jak narzędzie publiczne – nie wrzucaj tam niczego, co nie może wyciec.

I jeszcze jedno: edukuj się. Im więcej wiesz o tym, jak działają ataki, tym łatwiej je rozpoznać. To nie jest paranoja – to rozsądna ostrożność w świecie, gdzie AI staje się codziennością.

Co to znaczy dla przyszłości AI

Ta historia pokazuje coś ważnego. Integrujemy AI z życiem w tempie ekspresowym. Claude w kalendarzu, ChatGPT w mailu, Gemini w dokumentach. Wszędzie, gdzie się da. Ale bezpieczeństwo nie nadąża.

Firmy gonią za funkcjami. Każda chce mieć więcej integracji, więcej możliwości, więcej "wow". Ale każda nowa funkcja to nowy punkt wejścia dla ataku. I nikt nie ma jeszcze dobrych odpowiedzi, jak to zabezpieczyć.

Prompt injection to dopiero początek. Będzie więcej takich luk. Będzie więcej kreatywnych sposobów na oszukanie AI. Bo im bardziej AI staje się potężne, tym bardziej atrakcyjnym celem jest dla hakerów.

Może potrzebujemy zwolnić? Może zanim wpuścimy AI do każdego aspektu życia, powinniśmy się upewnić, że wiemy, jak to kontrolować? To nie jest argument przeciw AI – to argument za odpowiedzialnością.

Technologia sama w sobie jest neutralna. To my decydujemy, jak szybko ją adoptujemy i jakie środki ostrożności stosujemy. Ta luka w Claude to ostrzeżenie. Pytanie brzmi: czy je usłyszymy.

Źródła

• 01net – Une faille de Claude permet à un simple événement Google Agenda de pirater votre PC