Защитный режим Auto Mode в Claude Code Opus 5 оказался уязвим. Строго говоря, это не классическая промпт-инъекция: Виллисон называет ее атакой через окружение агента (confused environment attack). Исследователь Йохан Ребергер обнаружил атаку, которая, по его словам, работает в 80% случаев. Уязвимость ставит под вопрос безопасность и предсказуемость поведения агентов, особенно в критических пайплайнах.
Атака работает так: агент скачивает и распаковывает ZIP-архив, а затем выполняет код, который импортирует base64. При этом Claude Code не замечает, что вместе с base64 импортируется локальный файл struct.py, извлеченный из архива. Самое тревожное: в некоторых случаях сам защитный механизм Auto Mode блокировал команды по очистке, когда агент обнаруживал компрометацию. То есть, система безопасности пропускала вредоносный код и вдобавок мешала его остановить!
Для меня это подтверждает старый принцип: любая система, работающая с внешними потенциально враждебными входными данными, должна быть изолирована. Если вы строите агентные пайплайны, которые могут столкнуться с промпт-инъекциями или обработкой недоверенного кода, то вывод Йохана Ребергера, с которым соглашается Саймон Виллисон: если есть риск стать целью атаки, запускать агентов безопасно только в песочнице. Дело не в одной надежности: это фундамент для внедрения ИИ в серьезные бизнес-процессы.
Подробнее об атаке читайте в обзоре Саймона Виллисона.