研究显示：只需要求总结网站，即可轻松欺骗Claude Code

安全研究员Johann Rehberger（网名wunderwuzzi）近日展示了一种针对Anthropic旗下编程代理Claude Code的新型提示注入攻击手法。攻击者只需诱导该AI工具去“总结一个网站”，就能在Auto Mode（自动模式）下，以高达80%的成功率，让Claude执行攻击者控制的恶意代码。这一发现再次引发了业界对AI Agent（智能体）工具安全边界的关注。 这起攻击的核心在于利用了Claude Code在Auto Mode下的默认行为逻辑。该模式是Claude自8月中旬以来的默认设置。攻击流程始于诱导模型去总结一个伪装成笔记本记录存档的恶意网站。在获取内容时，模型内置的WebFetch工具请求会失败，返回“415 Unsupported Media Type”错误。此时，模型会“自作主张”地改用Bash工具调用curl命令直接访问网站。网站随即返回一个303重定向，指向一个恶意ZIP压缩包，Claude会将其下载。压缩包内包含看似无害的目录元数据、README文件、编码的JSON记录，以及一个名为“struct.py”的投毒Python文件。 更值得玩味的是，攻击的成败关键恰恰利用了Claude自身的安全机制。当模型面对压缩包内提供的解码器二进制文件时，其安全护栏会拒绝直接运行。于是，AI决定自己编写一个解码器。Rehberger指出：“讽刺的是，这个安全决策恰恰是攻击路径。”新编写的解码器会导入base64模块，而攻击在此处利用了Python模块遮蔽（Module Shadowing）技术。由于恶意ZIP包内的struct.py文件与Python标准库模块同名，当解码器运行时，Python会优先加载本地恶意文件，而非官方模块。Rehberger还透露，他使用ChatGPT对恶意struct.py代码进行了混淆，以绕过Claude的安全控制，最终成功启动一个独立的Python进程，下载并执行远程载荷——在演示中是一个命令与控制（C2）回调，甚至能打开计算器应用。 在另一种攻击场景中，这个恶意struct.py还能通过`claude -p`命令启动第二个无头（headless）Claude Code实例。这意味着，该提示注入不仅能实现远程代码执行，还能创建一个全新的、拥有独立工具访问权限和上下文的子Agent，进行系统侦察、文件读写等操作。Rehberger在三个变体各测试五次后报告，成功率在60%到80%之间。他认为结果具有代表性，但并非全面。Anthropic公司未对The Register的置评请求作出回应，但据称已告知Rehberger，模型“行为符合设计预期”。Rehberger则评论道：“Auto Mode是一个由尽力而为的分类器支持的便利功能，而非安全保证。”