Claude Code Opus 5 自动模式被攻破：安全机制反成漏洞一环

破解克劳德代码 Opus 5 自动模式

Anthropic 对 Claude Code 的自动模式寄予厚望，认为它能够有效保护其代码生成代理的用户免受提示注入攻击。他们最近 这成为默认，并对其有效性作出了大胆的宣称。

约翰·雷伯格是当今最权威的提示注入研究专家之一。他发现了一种针对自动模式的攻击手段，据称在80%的情况下都能奏效：通过诱使 Claude Code 下载并解压一个 ZIP 压缩包，继而执行一段导入 base64 的代码；而 Claude Code 并未察觉，该代码还会进一步导入并执行从压缩包中提取出的本地 struct.py 文件。

更有甚者，在少数情况下，自动模式竟然直接阻止了代理继续执行有害代码！

在几次测试中，Claude 一旦发现系统已被入侵，便试图终止恶意进程，但自动模式却驳回了这一清理指令。Claude 能够检测到入侵，然而自动模式却拦截了它的清理命令——连安全机制本身也可能成为故障的源头。分类器允许恶意进程被创建，却随后又阻止了本应将其终止的指令！

我赞同约翰的结论：只要存在遭受恶意攻击的风险，运行代理的唯一安全方式就是使用沙箱隔离：

• 将无人值守的代码生成代理运行在容器、虚拟机或操作系统级的沙箱环境中。
• 严格限制网络出站流量。
• 持续监控代理的行为。
• 切勿向代理运行时暴露用户的主目录、SSH 密钥、云凭证等敏感信息。

标签：沙盒、安全、前往、提示注入、生成式人工智能、大型语言模型、人为、克洛德、约翰-雷伯格、克劳德码