Claude Code Auto Mode 遭提示注入繞過：分類器不能取代系統隔離
Claude Code Auto Mode 遭提示注入繞過：分類器不能取代系統隔離
攻擊如何發生
安全研究員 Johann Rehberger 公開一條針對 Claude Code Opus 5 Auto Mode 的間接提示注入鏈。惡意網頁誘導代理下載並解壓檔案；代理拒絕執行未知二進位制檔後，自行用 Python 解碼內容，卻在攻擊者控制的目錄內匯入 base64。由於該目錄包含惡意 struct.py，Python 模組遮蔽機制令攻擊程式在匯入時執行。研究者的小樣本測試錄得 60% 至 80% 成功率，但他亦明確提醒，這不是可推廣至所有任務的普遍成功率。
安全機制的盲點
Auto Mode 以分類器判斷工具呼叫是否可執行，但每一步看起來都可能合理：下載資料、解壓、編寫替代解碼器及執行短 Python 指令。危險行為藏在多步組合及語言載入規則內，分類器未必能從單次工具呼叫辨識。Simon Willison 亦指出，部分測試中分類器先容許惡意程式啟動，之後反而阻止代理終止程式，顯示批准機制本身可能成為故障的一部分。
實務建議
這次披露不等於所有 Auto Mode 工作都會被攻破，也不代表 Anthropic 宣稱的既有測試資料造假；固定測試集錄得零成功率，與新型攻擊鏈成功，可以同時成立。真正可操作的結論是：處理不可信網頁、倉庫或壓縮檔時，無人值守代理必須置於容器、虛擬機器或作業系統沙箱，限制網路出口及敏感目錄，並監察子程式。分類器適合降低誤操作，不能被視為安全邊界。