Der Sicherheitsforscher Ayush Paul (arbeitet bei Beem, wohnhaft in Charlotte, NC) demonstriert einen mehrstufigen Prompt-Injection-Angriff auf Claude.ai, der ohne experimentelle Einstellungen, Code-Ausführung oder spezialisierte MCP-Server auskommt. Claudes Memory-System besteht aus zwei Komponenten: einem täglichen Zusammenfassungsdurchlauf, dessen Ergebnis als Kontext in jede neue Unterhaltung injiziert wird, sowie dem Tool `conversation_search` zur Suche im gesamten Gesprächsarchiv. Der direkte Ansatz – Claude einfach aufzufordern, Daten im URL-Pfad zu kodieren – scheiterte, weil Anthropic `web_fetch` auf drei Quell-Typen beschränkt: direkte Nutzereingaben, `web_search`-Ergebnisse und Hyperlinks aus zuvor abgerufenen Seiten. Genau diesen dritten Kanal nutzt Paul aus: Er baute einen Server, dessen Startseite Links zu `/a`, `/b`, `/c` usw. enthält; jede Unterseite verlinkt wiederum auf die nächste Zeichenebene (`/aa`, `/ab` …), sodass ein vollständiges Hyperlink-„Keyboard" entsteht. Eine präparierte Webseite kann Claude via Prompt-Injection anweisen, Gedächtnisdaten Zeichen für Zeichen durch Navigation über diese Links zu exfiltrieren – jeder GET-Request erscheint im Serverlog des Angreifers. Im Proof-of-Concept wurden Name, Arbeitgeber und Antworten auf Sicherheitsfragen erfolgreich übertragen, ohne dass Claude dem Nutzer irgendeinen Hinweis gab. Paul betont, dass KI-Assistenten wie Claude mittlerweile informationsdichtere Profile über Millionen Menschen angesammelt haben als die meisten Passwortmanager.