研究者曝Claude Code Auto Mode防注入攻击80%可绕过

Rehberger测了Claude Code Opus 5的Auto Mode（自动模式，Anthropic今年默认开启的提示注入防护机制），搞出一条号称80%成功率的攻击链，Simon Willison写博客转了这条测试。这里解释一下提示注入：攻击者把恶意指令藏进agent会读取的外部内容里，让agent执行指令方原本没打算做的事。 攻击流程分三步。1. 诱导Claude Code下载一个zip压缩包并解压。2. 让Claude Code执行一段导入base64库的代码，Claude不会注意到这行代码同时会加载解压出来的本地文件struct.py。3. struct.py趁机执行恶意代码。 Rehberger发现，好几次运行里，Auto Mode本身就成了漏洞的一部分——Claude在发现进程被攻陷后尝试终止它，分类器却挡下了这条终止命令，只因为它之前就放行过这个恶意进程。 Willison认同Rehberger的结论：只要agent有可能招来针对性攻击，唯一安全的跑法是隔离环境。他给出四条建议。1. 无人值守的coding agent放进容器、虚拟机或系统沙箱里跑。2. 限制出网。3. 监控agent行为。4. 不把home目录、SSH密钥、云凭证暴露给agent运行环境。 原文：https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/