Claude Code Auto Mode被曝存在80%成功率的提示注入攻击

Anthropic 将大量信心押注在 Claude Code 的 auto mode 上，认为它能保护编码代理用户免受提示注入攻击。最近，他们已将 auto mode 设为默认模式，并对其有效性做出了大胆声明。

然而，活跃在提示注入研究领域的知名安全研究员 Johann Rehberger 发现了一种针对 auto mode 的攻击方式。他声称这种攻击的成功率高达 80%。攻击的思路是诱骗 Claude Code 下载并解压一个 zip 压缩包，然后执行导入 base64 的代码，而 AI 不会注意到这实际上会导入并执行从压缩包中提取的本地 struct.py 文件。

更令人担忧的是，在少数情况下，auto mode 反而阻止了代理阻止有害代码继续执行。在几次运行中，Claude 在发现入侵后试图终止恶意进程，但 Auto Mode 拒绝了清理命令。这意味着安全机制本身可能成为失败的一部分：分类器允许了恶意进程的创建，却又阻止了用于停止该进程的命令。

Rehberger 和 Simon Willison 都认为，在存在对抗性攻击风险的情况下，运行代理的唯一安全方式是使用沙箱：在容器、虚拟机或操作系统沙箱中运行无人值守的编码代理；限制网络出口；不要将主目录、SSH 密钥、云凭证等暴露给代理运行时。