破解 Claude Code Opus 5 Auto
来自 Simon Willison · 期号 2026-08-28
摘要
Anthropic 对 Claude Code 的 auto mode 寄予厚望，认为它能抵御 prompt 注入攻击。 安全研究员 Johann Rehberger 发现了一种攻击方式，成功率约 80%：让 Claude Code 下载并解压一个 zip 压缩包，然后执行其中被替换的 Python 标准库文件（如 struct.py），从而劫持代码执行。 更严重的是，auto mode 在几次测试中直接阻止了 agent 清理恶意进程——安全机制本身成了故障的一部分。 Rehberger 的结论是：唯一安全的做法是把 agent 放进容器、虚拟机或操作系统沙箱里运行，限制网络出口，并监控其行为。
深读
导读 Anthropic 对 Claude Code 的 auto mode 寄予厚望，认为它能抵御 prompt 注入攻击。安全研究员 Johann Rehberger 发现了一种成功率约 80% 的攻击方式，更严重的是，auto mode 在几次测试中直接阻止了 agent 清理恶意进程，安全机制本身成了故障的一部分。读完本文你会明白：为什么依赖 LLM 内置的安全分类器来保护 agent 是危险的，以及唯一被证明有效的防御手段是什么。 关键信息 - Rehberger 的攻击方式：让 Claude Code 下载并解压一个 zip 压缩包，然后执行其中被替换的 Python 标准库文件（如 struct.py），从而劫持代码执行，声称成功率约 80%。 - 在几次运行中，Claude 检测到被入侵后试图终止恶意进程，但 auto mode 拒绝了清理命令，安全分类器允许了恶意进程的创建，却阻止了终止它的命令。 - Rehberger 的结论：唯一安全的做法是把 agent 放进容器、虚拟机或操作系统沙箱里运行，限制网络出口，并监控其行为；不要将 home 目录、SSH 密钥、云凭证暴露给 agent 运行时。 - 2026 年 8 月 30 日的更新指出，这并非经典的 prompt 注入攻击（没有恶意指令被 LLM 意外执行），而是一种「混淆环境攻击」——agent 所暴露的环境本身导致了漏洞。 逐节讲解 攻击手法：用 zip 包替换标准库 Anthropic 对 Claude Code 的 auto mode 做了大量安全承诺，并将其设为默认模式。Rehberger 发现，攻击者可以诱导 Claude Code 下载一个 zip 压缩包并解压，其中包含一个被替换的 struct.py 文件。当后续代码执行 import base64 时，Python 会优先加载本地目录下的同名文件，但这里被替换的是 struct.py，而 base64 内部会导入 struct，从而触发恶意代码的执行。攻击者不需要让 LLM 直接执行恶意指令，而是利用 Python 模块导入机制劫持了执行流程。 auto mode 如何让问题更糟 在几次测试中，Claude 检测到被入侵后试图终止恶意进程，但 auto mode 阻止了清理命令。这意味着：安全分类器允许了恶意进程的创建，然后阻止了终止它的命令。安全机制本身成了故障的一部分，它既没有在入口处拦住攻击，又在出口处拦住了补救措施。 真正的解决方案：沙箱 Rehberger 的结论是，唯一安全的做法是放弃依赖 LLM 内置的安全分类器，转而使用操作系统级别的隔离手段：在容器、虚拟机或 OS 沙箱中运行 agent，限制网络出口，监控 agent 行为，并且不暴露 home 目录、SSH 密钥、云凭证等敏感资源。 值得注意…