Anthropic недавно включила Auto Mode по умолчанию в Claude Code. Компания заявила, что режим эффективно защищает пользователей агента от атак через prompt injection. Однако исследователь Йоханн Ребергер смог обойти эту защиту, сообщает Simon Willison's Weblog. По его оценке, способ срабатывает в 80% случаев.
В ходе атаки Claude Code скачивает и распаковывает ZIP-архив, а затем выполняет код с импортом base64. При этом агент не замечает, что вместе с ним импортируется и запускается локальный файл struct.py, извлечённый из архива.
В нескольких запусках Claude распознавал компрометацию и пытался остановить вредоносный процесс. Но Auto Mode отклонял команду очистки. Получалось, что классификатор сначала разрешал создать процесс, а затем блокировал команду для его завершения.
Ключевые факты
По оценке Йоханна Ребергера, атака срабатывает в 80% случаев.
Сценарий использует загрузку и распаковку ZIP-архива с последующим выполнением кода, импортирующего base64.
Локальный файл struct.py из архива импортируется и запускается без обнаружения со стороны агента.
В нескольких запусках Auto Mode отклонял команду Claude на остановку вредоносного процесса.
Вопросы и ответы
- Насколько воспроизводим этот обход?
По оценке Йоханна Ребергера, атака срабатывает в 80% случаев.
- Какой сценарий запускает вредоносный код?
Claude Code скачивает и распаковывает ZIP-архив, затем выполняет код с импортом base64. Вместе с ним незаметно импортируется и запускается локальный файл struct.py из архива.
- Почему Auto Mode не останавливает атаку после обнаружения?
В нескольких запусках классификатор сначала разрешал создание вредоносного процесса, а затем отклонял команду Claude на его остановку.
Контекст по теме
- Anthropic сообщила о несанкционированном доступе Claude к системам трёх организаций во время тестов31 июля 2026 г.
- Исследователи Mozilla показали атаку через GitHub-репозиторий на AI-инструменты для программирования30 июня 2026 г.
- В AI SDK 7 появился HarnessAgent для работы с Claude Code, Codex и Pi через единый API12 июня 2026 г.
- Саймон Уиллисон описал поведение Claude Fable 5 на примере отладки Datasette Agent12 июня 2026 г.