Breaking Claude Code Opus 5 Auto Mode

Simon Willison's Weblog2026年8月27日

8.5内容质量

TL;DR · AI 摘要

Claude Code Auto Mode存在重大安全漏洞，80%成功率的攻击可绕过其防护机制，建议使用沙箱运行代理。

按章节快速跳转。

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）

值得收藏与分享的关键句。

Johann Rehberger的攻击方法成功率达80%，通过诱导Claude Code下载zip文件执行恶意代码。
— 第2段
⬇︎ 下载 PNG 𝕏 分享到 X
Auto Mode在检测到入侵后阻止清理命令，导致安全机制自身成为失败原因。
— 第3段
⬇︎ 下载 PNG 𝕏 分享到 X
推荐将无监督代理运行在容器/虚拟机沙箱中，限制网络出口和敏感文件暴露。
— 第4段
⬇︎ 下载 PNG 𝕏 分享到 X

#AI安全#提示注入#Claude Code#沙箱技术

#smallhead

由以下机构赞助：

Greptile —— 运行您代码的 AI 代码审查工具。捕获仅在运行时出现的错误。

免费试用

2026 年 8 月 27 日 - 链接博客

突破 Claude Code Opus 5 自动模式。Anthropic 对 Claude Code 的自动模式寄予厚望，认为其能有效保护编码代理用户免受提示注入攻击。他们最近将该模式设为默认，并对其效果做出了大胆的宣称。

Johann Rehberger 是当今最可信的提示注入研究者之一。他发现了一种针对自动模式的攻击方法，声称该方法 80% 的情况下有效，通过欺骗 Claude Code 下载并解压 zip 存档，然后执行代码导入 base64 时未察觉这会导入并执行从存档中提取的本地 struct.py 文件。

在某些情况下，自动模式甚至直接阻止了代理防止有害代码继续执行！

在几次运行中，Claude 在发现被入侵后尝试终止恶意软件进程，但自动模式拒绝了清理命令。Claude 检测到入侵，但自动模式阻止了其清理命令。安全机制本身可能成为失败的一部分。分类器允许创建恶意软件进程，但随后又阻止了旨在停止它的命令！

我同意 Johann 的结论：如果存在被敌对攻击吸引的风险，唯一安全运行代理的方式是使用沙箱：

在容器、虚拟机或操作系统沙箱中运行无人值守的编码代理。限制网络出站。监控您的代理。不要将主目录、SSH 密钥、云凭证等暴露给代理运行时。[...]

发布

2026 年 8 月 27 日

晚上 10:50