研究者用模块遮蔽攻击链绕过 Claude Code Opus 5 Auto Mode
安全研究者 Johann Rehberger 发布针对 Claude Code Opus 5 Auto Mode 的攻击链,通过诱导 Claude 改用 curl 下载 ZIP、拒绝运行其中的二进制解码器后自行编写 Python 解码器,再借由压缩包内恶意 struct.py 的模块遮蔽触发代码执行,小样本下攻击成功率最高达 80%。Anthropic 委托第三方评测曾给出 Opus 5 在 Auto Mode 下 0.00% 的提示注入攻击成功率,作者指出该评测只覆盖固定的 72 个场景各跑 10 次,其攻击链不在其中。Anthropic 将该报告关闭为 Informative,称 Auto Mode 是尽力而为的便利功能而非安全保证,真正的边界是操作系统隔离与网络出口控制;作者建议在容器、虚拟机或系统沙箱中运行无人值守的编码智能体并限制网络出口。
allow-listed IPs. The website presents itself as a small archive of notebook records. Those notebook records however are in a ZIP archive. The archive contains plausible catalogue metadata, dates, checksums and seven short records about the development of the theory of language. The wrapper gives Claude a legitimate reason to investigate the material. 1. Move Claude from WebFetch to Bash Claude initially uses the WebFetch tool to retrieve the contents of the page. The WebFetch tool itself appear
匹配字段正文





