Potensi kebocoran sesi/cache antar instance workspace atau akun konsumen

 (github.com/anthropics)
1 poin oleh GN⁺ 4 jam lalu | 1 komentar | Bagikan ke WhatsApp
  • Dalam isu Claude Code #74066, seorang pengguna workspace Enterprise ZDR melaporkan bahwa respons terkait Minecraft temple yang tidak ada hubungannya dengan pekerjaannya tercampur ke dalam sesi, dan mempersoalkan kemungkinan isolasi cache workspace serta kebocoran antar paket konsumen
  • Lingkungan yang dilaporkan adalah macOS(darwin), Apple_Terminal, Claude Code 2.1.199; pengguna memakai konfigurasi tidak biasa dengan direktori kerja aktual berbeda dari direktori eksekusi, dan menyatakan ada juga kebingungan terpisah setelah /compact ketika proyek di sisi direktori eksekusi tersentuh
  • Salah satu komentar menyarankan untuk terlebih dahulu membedakan apakah ini kontaminasi konteks lokal atau kebocoran sisi server dengan menjalankan grep pada transcript lokal di ~/.claude/projects/<encoded-cwd>/<session-id>.jsonl; pelapor menjawab bahwa tidak ada kecocokan lokal terkait Minecraft selain log sesi saat ini dan path minecraft.py
  • Setelah itu, dalam sesi Claude Mobile pada akun Enterprise yang sama, konten tidak relevan terkait 3-panel abstract print juga tercampur; pelapor menyebut kesamaan berupa Sonnet 5 dan cache miss pada respons pertama setelah lebih dari 5 menit, lalu mengirim /feedback dan melakukan eskalasi internal
  • Peserta lain membagikan pengalaman serupa di Claude Code, API, dan penggunaan Claude di kantor, tetapi sebagian mengangkat kemungkinan halusinasi atau bahwa ini mungkin bukan masalah khusus Claude Code; halaman isu tidak memuat analisis akar penyebab final atau hasil penyelesaian dari Anthropic

Gejala yang dilaporkan

  • Isu Claude Code #74066 membahas kasus ketika pengguna sedang terautentikasi di workspace Enterprise ZDR, tetapi agen tiba-tiba mengatakan sedang membuat “Minecraft temple”
  • Pengguna menulis bahwa agen bertanya jenis batu bata apa yang diinginkan, dan dalam recap juga dengan yakin mengatakan sedang membuat Minecraft temple
  • Masalah yang diajukan terbagi dua
    • Kemungkinan sesi atau cache rekan kerja dalam workspace yang sama tercampur
    • Kemungkinan konten dari paket konsumen tercampur ke sesi Enterprise ZDR
  • Informasi lingkungan yang dilaporkan
    • Platform: darwin
    • Terminal: Apple_Terminal
    • Version: 2.1.199
    • Feedback ID: f336f5d2-3992-4a04-9e1f-ec30f006f75e

Kebingungan antara direktori eksekusi dan direktori kerja

  • Pengguna memulai sesi dari direktori yang tidak terkait dengan pekerjaan aktual
    • Alasannya, di direktori tersebut ada direktori .claude yang berisi konteks yang diperlukan
    • Pekerjaan aktual sedang dilakukan di direktori lain
  • Setelah /compact, pernah terjadi agen melupakan instruksi pengguna dan mulai mengerjakan proyek di sisi direktori eksekusi
  • Pengguna menganggap kebingungan direktori ini muncul karena konfigurasinya sendiri, tetapi membedakannya dari fenomena tercampurnya prompt terkait Minecraft

Saran memeriksa transcript lokal

  • Seorang peserta menyarankan agar terlebih dahulu memeriksa apakah teks “Minecraft temple” ada di file sesi lokal
  • Ia menjelaskan bahwa konten kirim-terima Claude Code CLI disimpan sebagai transcript per sesi di ~/.claude/projects/<encoded-cwd>/<session-id>.jsonl
  • Perintah pengecekan yang disarankan adalah sebagai berikut
grep -rli 'minecraft\|temple\|brick' ~/.claude/projects/ 2>/dev/null
  • Interpretasi hasilnya terbagi dua
    • Jika ada file yang cocok, teks tersebut ada secara lokal sehingga bisa jadi local context/transcript bleed
    • Jika tidak ada kecocokan lokal, berarti teks tersebut belum pernah dikirim/diterima di mesin itu, sehingga masalah pada model atau sisi server perlu dicurigai
  • Perintah untuk memeriksa apakah kebingungan lokal berasal dari sesi lain juga disarankan
grep -rli minecraft ~/.claude/projects/ | while read f; do
  printf '%s  %s\n' "$(grep -m1 -o '"cwd":"[^"]*"' "$f")" "$f"; done
  • Pemberi saran memandang bahwa launch cwd berperan sebagai lokasi penyimpanan transcript sekaligus kunci konteks, sehingga jika sesi dimulai dari direktori yang tidak terkait dan /compact digunakan, kebingungan direktori bisa terjadi
  • Namun ia membedakan bahwa mekanisme itu hanya bisa menjelaskan kebingungan direktori, bukan prompt Minecraft itu sendiri yang tidak pernah ditulis pengguna

Hasil pemeriksaan tambahan dari pelapor

  • Pelapor menjawab bahwa dari hasil pencarian lokal, tidak ada kecocokan terkait selain titik di log sesi saat ini yang pertama tampak seperti kebocoran dan percakapan setelahnya dengan model
  • Untuk minecraft, ia mengatakan ada satu kemunculan path lexer Pygments minecraft.py yang termasuk dalam daftar file virtual environment Python
  • Untuk temple atau bricks, tidak ada kecocokan pada batas kata tersebut atau dalam konteks yang terkait Minecraft
    • Databricks
    • bricked by an over-eager click
    • Ia menyatakan hanya ada kecocokan tidak relevan seperti substring di dalam verdictSignalsLabel
  • Pengguna menyatakan telah mengirim /feedback dan juga melakukan eskalasi secara internal

Kasus serupa di Claude Mobile

  • Pelapor yang sama menambahkan bahwa fenomena serupa juga terjadi dalam sesi Claude Mobile pada akun Enterprise yang sama
  • Kesamaan yang disebutkan adalah
    • Sonnet 5
    • Respons pertama setelah lebih dari 5 menit
    • Kondisi cache miss
  • Karena gambar lampiran email tidak dapat diunggah, ia meninggalkan isi OCR dalam komentar
    • Pengguna mengumpulkan beberapa CSV dalam folder, memberikan tautan folder Google Drive, dan meminta bantuan
    • Claude membicarakan hal yang tidak terkait dengan permintaan, seperti mockup set 3-panel abstract print yang disesuaikan dengan ukuran dinding aktual serta riset seniman dan toko
    • Lalu Claude mengatakan “Detecting injection attempt, proceeding...” dan memperlakukan konten tersebut seperti injection
    • Proses berpikir yang ditampilkan memuat isi bahwa ada blok terkait ukuran dinding dan art print yang tidak terkait dengan permintaan CSV pengguna, lalu mencoba mengekstrak ID folder Drive dan memproses file CSV

Kasus dan respons dari peserta lain

  • Seorang peserta menulis bahwa pada minggu sebelumnya, di Claude Code berbasis Sonnet 5, ada konten yang tidak berasal dari tool yang benar-benar dipanggil tercampur di tengah hasil tool
    • Notifikasi “MCP servers need auth” yang dibuat-buat
    • Dump CLAUDE.md lain
    • Instruksi palsu “Plan mode is active” disebut ikut masuk
  • Peserta lain menulis bahwa Claude pernah menyebutkan toko di dekat lokasi tempat tinggal temannya, dan teman tersebut juga menggunakan Claude di kantor yang sama
  • Peserta lainnya mengatakan bahwa pada 2025, saat menggunakan token API, tool dari agen lain tiba-tiba tampak muncul; saat itu ia menganggapnya halusinasi dan tidak menyelidikinya lebih dalam
  • Satu komentar menautkan tulisan incident Claude terkait, dan mengatakan bahwa awalnya ia mengira melihat data pengguna lain, tetapi Anthropic kemudian mengatakan bahwa itu adalah internal agent context yang terekspos secara keliru
  • Sebagian komentar mengatakan fenomena ini terlihat seperti halusinasi, atau mungkin bukan masalah khusus Claude Code

Status saat ini dan isu yang tersisa

  • Isu tersebut berstatus Open di halaman, dan isi utamanya tidak memuat analisis akar penyebab final maupun keterangan perbaikan telah selesai
  • Isu intinya adalah dari mana teks yang tidak relevan itu masuk
    • Kebingungan konteks berbasis transcript lokal atau launch cwd
    • Masalah status sesi pada model atau sisi server
    • Eksposur keliru atas internal agent context
    • Halusinasi biasa
  • Hasil pencarian lokal pelapor mengarah pada bahwa konten terkait Minecraft temple dan bricks tidak ditemukan di sesi-sesi lokal sebelumnya, tetapi di isu publik tersebut tidak ada keputusan resmi dari Anthropic

Bacaan terkait

1 komentar

 
GN⁺ 4 jam lalu
Komentar Hacker News

  • Saya terlibat cukup dalam di pihak yang memakai LLM dari beberapa penyedia, dan saya tahu setidaknya dua kasus ketika infrastruktur perantara menukar respons satu sama lain
    Satu kasus memengaruhi model Claude, satu lagi model GPT, dan penyedianya berbeda
    Salah satu pihak memberikan analisis pascakejadian yang layak: API gateway mereka salah menangani kode status HTTP 100, masuk ke kondisi error sehingga pada dasarnya terjadi error off-by-one; saya menerima respons untuk prompt tepat sebelum permintaan saya, sementara respons saya diteruskan ke pemanggil berikutnya
    Pihak lainnya tidak menjelaskan akar masalahnya, hanya meminta kami percaya bahwa itu tidak akan terjadi lagi
    Keduanya adalah perusahaan dengan kapitalisasi pasar di atas 1 triliun dolar
    Dalam kasus ini, respons tertukar saat transmisi, jadi ZDR itu sendiri tidak rusak, tetapi menurut saya bisa jadi masalah serupa. Mungkin datanya bukan disimpan, melainkan tidak diisolasi dengan aman di infrastruktur perantara

    • Serangan ini disebut HTTP desync atau request smuggling
      Sering juga sengaja digunakan oleh klien untuk mengintip respons klien lain
      Setiap kali permintaan dari beberapa klien dimultipleks ke satu koneksi upstream, ada kemungkinan rentan, karena berbeda dari kelihatannya, HTTP terlalu rumit sehingga sulit mencocokkan permintaan dan respons secara andal di upstream
      Misalnya, jika ada lebih dari satu header Content-Length, mencampur Content-Length dengan chunked encoding, atau meneruskan header Content-Length HTTP/2 yang tidak cocok dengan panjang body sebenarnya, beberapa sistem dapat mengalami desinkronisasi
      Ada presentasi DEF CON tentang topik ini: https://www.youtube.com/watch?v=w-eJM2Pc0KI
      Serangan yang sama juga diterapkan ke SMTP dengan mengacaukan newline di sekitar pemisah akhir pesan; di sana disebut SMTP smuggling. Ini juga bisa berlaku pada protokol lain
    • Kedengarannya masuk akal, tetapi kalau begitu respons bisa keluar dari jaringan perusahaan, jadi bukankah itu pelanggaran implisit terhadap ZDR?
      Misalnya, jika menangani PHI, meski Claude tidak menyimpan apa pun, kebocoran respons bisa berpotensi menjadi pelanggaran HIPAA, dan sejak awal tujuannya mungkin kepatuhan HIPAA; saya penasaran bagaimana harus melihatnya
    • Tidak jelas kenapa memakai akun throwaway
      Setiap perilaku baru dari para aktor yang bahkan klaimnya atas nilai moral positif pun nyaris masuk akal harus dilaporkan, didiskusikan, dibedah, dan dikritik sejak dini dan sering

  • Sepertinya akan baik-baik saja kalau cukup menambahkan satu baris di AGENTS.md: “Jangan pernah membahas Minecraft kecuali diminta secara eksplisit”

    • Anthropic terlalu eksklusif dan berada satu tingkat di atas untuk memakai pola konvensional standar seperti AGENTS.md, jadi harusnya CLAUDE.md

  • Sampai terbukti, ini terdengar seperti halusinasi. LLM terdepan pun kadang melakukan hal seperti itu, dan selalu terlihat masuk akal
    Bisa saja sesi itu berisi konteks sebelumnya yang sangat banyak, misalnya lebih dari 800 ribu token, dan dalam kasus seperti itu saya rasa kemungkinan halusinasi lebih tinggi
    Komentar terkait dari penulis asli juga meningkatkan kemungkinan halusinasi: hasil pemanggilan tool yang mencetak daftar file virtual environment Python berisi string path minecraft.py, dan paket Pygments punya lexer bernama minecraft.py

    • Saya tahu tidak ada definisi halusinasi yang persis, tetapi ini terdengar sangat berbeda dari apa yang biasanya disebut halusinasi
      Halusinasi biasanya adalah jawaban yang tampak masuk akal tetapi salah, atau informasi rekaan yang disesuaikan dengan respons paling mungkin seperti kutipan yang dibuat-buat, dan muncul dari cara LLM memprediksi token. Kasus ini adalah keluaran yang sama sekali tidak masuk akal, jadi kurang cocok disebut halusinasi
      Meski begitu, tidak harus berarti kebocoran antar-sesi; bisa saja berasal dari data pelatihan atau sesuatu seperti pembuatan data gaya Magpie yang mengeluarkan percakapan ketika hanya diberi prompt kosong
      Melihat komentar turunan soal caching, tampaknya juga mungkin ada error yang gagal memuat apa pun alih-alih cache, lalu mengeluarkan generasi acak
      Koreksi, nama barunya ternyata magpie. Konsep bahwa LLM menghasilkan percakapan acak dari prompt kosong menarik untuk dilihat, dan tampaknya sama mungkinnya dengan kebocoran sesi: https://github.com/magpie-align/magpie
    • Penulis mengklaim di thread bawah bahwa ia mereproduksinya dalam konteks terpisah
      Hal yang sama juga terjadi di sesi Claude Mobile pada akun Enterprise yang sama, dan kesamaannya adalah Sonnet 5 serta respons pertama setelah lebih dari 5 menit, yaitu cache miss
    • Bukannya saya tidak setuju, tetapi hal seperti ini tetap harus diselidiki
      Sayangnya transparansinya terlalu kurang, jadi meski mereka membantah ada kebocoran, kita tidak bisa tahu pasti
    • Saya penasaran kenapa itu membuat kemungkinannya lebih tinggi
    • Benar
      Kalau sudah cukup banyak memakai LLM, Anda pasti pernah melihat semua model kadang tiba-tiba mengoceh dalam bahasa yang sama sekali berbeda. Dalam persentase tertentu, mereka bisa menjadi benar-benar aneh

  • Dalam beberapa hari terakhir saya juga melihat ini di Gemini
    Pada prompt dengan input yang cukup besar, kadang muncul jawaban yang tampak seperti milik orang lain. Bisa saja halusinasi yang terpicu, tetapi terlihat juga seperti tabrakan cache atau masalah lain
    Saya belum melihat bukti bahwa informasi pribadi bocor, tetapi saat sedang meneliti suatu topik lalu tiba-tiba mendapat sesuatu yang tampak seperti jawaban les matematika, itu membuat khawatir

    • Selama beberapa minggu terakhir, Gemini yang diakses lewat UI juga bermasalah. Mengkhawatirkan kalau beberapa hari kemudian hal yang sama terlihat di konteks lain
      Saya jadi berpikir mungkin sedang ada insiden keamanan besar yang berlangsung di balik layar
      Saya telah memakai AI untuk membantu menulis tata bahasa meta-parsing, dan untungnya sebagian besar belum saya publikasikan
      Jelas bagi saya bahwa generasi model berikutnya akan menunjukkan lompatan besar dalam identifikasi dan eksploitasi kerentanan dasar, terutama jika tahu bagian mana yang harus diperiksa. Pada tool parsing saya sendiri, model sudah menemukan beberapa bug dan setidaknya satu exploit, dan sulit membayangkan masih ada berapa banyak di seluruh ekosistem teknologi modern
    • Seluruh perusahaan kami sedang melakukan evaluasi tengah periode, dan karena satu-satunya tool yang diizinkan adalah Gemini, orang-orang bingung oleh respons acak yang tampak tidak relevan
      Sering kali juga muncul dalam bahasa lain
      Itu pun kalau ia memberi respons; kalau tidak, ia hanya mengembalikan kode error 1099

  • Saya Thariq dari tim Claude Code.
    Terima kasih atas laporan detailnya. Saya yakin ini halusinasi, tetapi tentu saja kami menanggapi laporan seperti ini dengan serius dan tim sedang menyelidikinya. Jika ada perkembangan, saya akan mengabarkannya lagi.

    • Terima kasih sudah repot-repot di akhir pekan. Sebagai masukan dari sisi pengguna, akan bagus kalau manajemen memori Claude Code bisa dibuat lebih mudah.
      Saat ini, kalau masuk ke folder .claude lalu mengubah hal seperti nama folder proyek, kadang memorinya tidak termuat dengan benar. Akan bagus kalau impor/ekspor bisa dibuat lebih mudah.

  • Apakah pilihannya hanya salah satu dari dua ini? Teknologi luar biasa ini sebodoh sampai mengeluarkan Minecraft secara acak, atau ada masalah keamanan serius?

    • Di konteks orang itu memang ada minecraft.py, dan konteks sesinya juga sangat panjang.
      Sesi LLM dengan konteks panjang sesekali melenceng bukan hal yang langka. Orang-orang yang mengharapkan kesempurnaan mutlak dari setiap interaksi LLM melihat ini sebagai dakwaan total terhadap seluruh teknologinya, tetapi mereka yang memakainya setiap hari menerima bahwa keluarannya sebagian bersifat probabilistik dan belajar menghindari konteks yang terlalu panjang meskipun model menyediakannya.
      Lebih baik melakukan kompresi secara strategis atau merangkum langkah berikutnya lalu meneruskannya ke sesi baru. Menggunakan sub-sesi memang memakan lebih banyak token untuk ringkasan dan transfer data, tetapi juga bisa mengurangi pencemaran konteks.
    • Karena ini akhir pekan, boleh saja kita antropomorfiskan.
      Di antara engineer hebat pun ada yang tiba-tiba mulai membicarakan Minecraft, dan kalau sekarang mungkin lebih besar kemungkinannya Factorio, jadi masuk akal.
    • Penulis aslinya memang punya file minecraft.py. Jadi ini tidak sepenuhnya 100% acak.

  • Saya punya masalah pembayaran/langganan, tetapi tidak ada yang bisa saya lakukan dan tidak ada cara untuk mendapat bantuan.
    Chatbot dukungan langsung memblokir saya, dan email pun ditangani chatbot. Saya bahkan tidak yakin apakah itu chatbot yang sama. Benar-benar jalan buntu, dan akhirnya saya menghubungi penerbit kartu kredit saya, yaitu bank; stafnya menyarankan lebih baik kartu saya dilaporkan hilang lalu diterbitkan ulang, jadi saya melakukan itu. Semoga berhasil.
    Saya tidak pernah paham sejak kapan dunia memutuskan tidak apa-apa menyerahkan begitu banyak kewenangan yang belum terverifikasi kepada perusahaan-perusahaan seperti ini. Hanya saja, dengan bentuk berbeda, memang selalu begitu.

  • Menarik bahwa komentar pertama di posting GitHub adalah jawaban claudeslop, lalu disusul reaksi terhadapnya.

  • Hal-hal yang ditolak Fable 5 secara berurutan: “punya daging bahu depan babi, minta resep hong shao rou”, “menulis framework pola MCP untuk diberikan ke Claude Code”, “menjelaskan biomekanika gerak c. elegans”.
    Yang terakhir masih bisa saya pahami karena terkait proyek hobi. Karena layanannya down, apakah saya bisa mendapat satu hari lagi Fable 5 yang berfungsi?

    • Saya tidak tahu relevansinya, tetapi biasanya kalau seseorang membuat classifier seburuk itu, dia sudah dipecat.
      Anthropic tampaknya berpikir mereka punya kekuatan monopoli untuk mendorong sampah ke konsumen, tetapi menurut saya tidak.
    • Saya tidak mengerti apa hubungannya. Anda bicara kepada siapa? Ini Hacker News, bukan kanal dukungan Anthropic.
    • Menarik bahwa orang-orang memakai model frontier ini untuk memasak.
    • Saya penasaran apakah ini ditolak oleh filter keamanan, atau modelnya yang sedang down.
    • Saya bertanya tentang prinsip pewarisan mata biru dari orang tua, lalu karena masalah keamanan mereka menurunkannya ke Opus.

  • Apakah ada sesuatu yang khusus pada LLM yang membuat pemisahan data pelanggan lebih sulit dibanding SaaS biasa?

    • Ada.
      Ada cache konteks, yaitu state bersama yang terlalu besar dan mahal untuk diduplikasi setiap kali ingin menghindarinya; lokalitas memori sangat penting bagi performa; perangkat kerasnya dialokasikan secara sangat berlebihan; dan biayanya juga sangat mahal.
      Karena faktor-faktor ini, untuk sebagian besar workload dan pelanggan, isolasi perangkat keras atau isolasi ruang memori tradisional—yakni hypervisor/VM/virtualisasi berbantuan perangkat keras—praktis sulit dijadikan titik awal, sehingga semua isolasi terdorong ke lapisan software. Itu saja sudah membuatnya jauh lebih sulit daripada SaaS umum.
      Selain itu, tool, framework, dan hardware GPU tempat sistem ini berjalan tidak dirancang dengan isolasi pekerjaan sebagai pertimbangan, dan membuat isolasi semacam ini lebih mirip bidang riset yang lebih baru bahkan dibanding berbagi hardware CPU x86. Di sisi x86 pun, ini membutuhkan upaya luar biasa selama lebih dari 30 tahun.
      Rasio antara penggunaan/sensitivitas dan tingkat kematangannya juga secara umum buruk. Perusahaan-perusahaan ini masih muda, bergerak cepat, dan berada di bawah tekanan pengiriman yang sangat besar di tengah tuntutan workload pelanggan yang luar biasa.
      Saya tidak tahu apakah posting asli ini benar-benar masalah nyata atau bukan, tetapi secara umum justru mengejutkan bahwa kasus seperti ini tidak lebih banyak. Dari sudut pandang ini, semuanya benar-benar terasa seperti rumah kartu.
    • Sepertinya implementasinya dibuat dengan vibe coding.
      Saya tidak mengalami masalah besar di Codex, tetapi di Claude Code rasanya hampir setiap hari ada masalah besar yang dilaporkan.
      Dan mereka juga pihak yang paling membanggakan bahwa mereka tidak membaca atau meninjau kode.
      LLM memang sangat mampu, tetapi masih jauh dari tingkat yang mereka promosikan.
      Sekarang kita sudah melampaui vibe coding sampai ke tahap LLM melakukan vibe coding terhadap dirinya sendiri di dalam loop.
    • Kalau menebak, melakukan apa pun secara multi-tenant di GPU tampaknya lebih sulit daripada kebanyakan SaaS karena kurangnya alat keamanan memori.
      Saya pernah membuat sistem SaaS multi-tenant dan dulu pernah sedikit melakukan pemrograman GPU, tetapi belum pernah menggabungkan keduanya.
    • Kalau prefix cache (KV cache) tidak dibagi antar pelanggan, efisiensi komputasinya akan sangat buruk.