研究者曝Claude Code Auto Mode防注入攻擊80%可繞過

Rehberger測了Claude Code Opus 5的Auto Mode（自動模式，Anthropic今年預設開啟的提示注入防護機制），搞出一條號稱80%成功率的攻擊鏈，Simon Willison寫部落格轉了這條測試。這裡解釋一下提示注入：攻擊者把惡意指令藏進agent會讀取的外部內容裡，讓agent執行指令方原本沒打算做的事。 攻擊流程分三步。1. 誘導Claude Code下載一個zip壓縮包並解壓。2. 讓Claude Code執行一段匯入base64庫的程式碼，Claude不會注意到這行程式碼同時會載入解壓出來的本地檔案struct.py。3. struct.py趁機執行惡意程式碼。 Rehberger發現，好幾次執行裡，Auto Mode本身就成了漏洞的一部分——Claude在發現程序被攻陷後嘗試終止它，分類器卻擋下了這條終止命令，只因為它之前就放行過這個惡意程序。 Willison認同Rehberger的結論：只要agent有可能招來針對性攻擊，唯一安全的跑法是隔離環境。他給出四條建議。1. 無人值守的coding agent放進容器、虛擬機器或系統沙箱裡跑。2. 限制出網。3. 監控agent行為。4. 不把home目錄、SSH金鑰、雲憑證暴露給agent執行環境。 原文：https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/