破解Claude Code Opus 5自动模式
Breaking Claude Code Opus 5 Auto Mode
Anthropic 将 Claude Code 自动模式设为默认，声称可防御 prompt 注入攻击。研究者 Johann Rehberger 发现一种攻击方式，声称成功率高达 80%，通过诱骗 Claude Code 下载并解压 zip 包，执行导入 base64 的代码，从而加载本地 struct.py 文件。在部分运行中，自动模式阻止了 Claude 终止恶意软件进程的清理命令，导致安全机制本身成为故障环节。Rehberger 建议在容器、虚拟机或操作系统沙箱中运行无人值守编码代理，限制网络出口并监控代理，避免暴露主目录、SSH 密钥和云凭证。
破解 Claude Code Opus 5 自动模式
Anthropic 对 Claude Code 的自动模式寄予厚望，希望借此保护其编程代理用户免受 prompt 注入攻击。他们最近将该模式设为默认，并对其有效性做出了大胆宣称。
Johann Rehberger 是当今最可信的 prompt 注入研究者之一。他发现了一种针对自动模式的攻击方式，声称成功率高达 80%。该攻击通过诱骗 Claude Code 下载并解压 zip 压缩包，然后执行导入 base64 的代码，而不会注意到这将导入并执行从压缩包中提取的本地 struct.py 文件。
在少数情况下，自动模式直接阻止了代理防止有害代码继续执行！在几次运行中，Claude 在发现入侵后试图终止恶意软件进程，但自动模式拒绝了清理命令。
Claude 检测到了入侵，但自动模式阻止了其清理命令——安全机制本身可能成为故障的一部分。分类器允许了恶意软件进程的创建，但随后却阻止了旨在停止它的命令！
我同意 Johann 的结论：如果存在吸引对抗性攻击注意的任何风险，运行代理的唯一安全方式是使用沙箱：在容器、虚拟机或操作系统沙箱中运行无人值守的编码代理。限制网络出口。监控你的代理。不要将主目录、SSH 密钥、云凭证等暴露给代理运行时。
[...]
标签：沙箱化、安全、人工智能、prompt 注入、生成式 AI、LLM、Anthropic、Claude、Johann Rehberger、Claude Code