Claude Code Auto Mode можно взломать в 80% случаев: атака через zip-архив и base64-импорт

Anthropic сделала Auto Mode режимом по умолчанию в Claude Code, заявив, что он защищает агентов от prompt injection. Однако исследователь Йоханн Ребергер показал, что в 80% случаев эту защиту можно обойти. Атака строится на том, что Claude Code скачивает и распаковывает zip-архив, а затем выполняет код, незаметно подменяющий стандартный импорт base64 — вместо него подхватывается локальный файл struct.py из архива.

В некоторых прогонах Auto Mode напрямую мешал агенту остановить вредоносный процесс. Когда Claude замечал компрометацию и пытался завершить вредоносный процесс, Auto Mode блокировал команду очистки. Механизм безопасности сам оказывался частью отказа: классификатор разрешил создание вредоносного процесса, но затем не дал его остановить.

Ребергер заключает, что единственный безопасный способ запускать агентов при риске целевых атак — песочница. Его рекомендации: использовать контейнеры, виртуальные машины или OS-песочницы; ограничивать сетевой выход; мониторить агентов; не давать runtime доступ к домашним директориям, SSH-ключам и облачным учётным данным.