ИБ-исследователь Иоганн Ребергер (Johann Rehberger) продемонстрировал атаку на Claude Code, работающий с моделью Opus 5 в автоматическом режиме (Auto Mode). Эксперт обнаружил, что для выполнения произвольного кода достаточно попросить ИИ-агента пересказать содержимое специально подготовленного сайта. Во время проведенных Ребергером тестов атака срабатывала в 60–80% случаев.

По словам исследователя, корень проблемы заключается в том, что с середины августа 2026 года Auto Mode используется в Claude Code по умолчанию. В этом режиме автоматический классификатор, который должен блокировать потенциально опасные операции, заменяет подтверждение действий пользователем.

Атака Ребергера начинается с безобидного запроса: пользователь просит Claude пересказать содержимое сайта, замаскированного под архив материалов по истории развития теории языка. Сначала агент пытается получить страницу через WebFetch, однако сервер намеренно отвечает ему ошибкой 415 Unsupported Media Type и при этом не дает никаких инструкций использовать другие инструменты.

В итоге Claude решает самостоятельно обойти эту проблему и обращается к странице через curl. В ответ на это сервер возвращает редирект 303, указывающий на ZIP-архив, который агент скачивает и распаковывает. Внутри находятся файл README, метаданные каталога, семь закодированных с помощью Base85 и zlib JSON-файлов с материалами архива, бинарный декодер для macOS, а также файл struct.py.

Claude отказывается запускать незнакомый бинарник, что полностью соответствует защитным механизмам модели. Однако именно на этом и рассчитывал Ребергер, который ждал того, что вместо использования готовой программы агент напишет собственный Python-скрипт, чтобы распаковать и декодировать JSON-файлы из архива.

В результате написанный Claude декодер импортирует стандартный модуль base64, который, в свою очередь, импортирует struct. Однако Python сначала ищет модули в текущей директории, а там уже лежит вредоносный файл struct.py из скачанного архива. Таким образом, происходит классическая атака типа module shadowing, и вместо стандартной библиотеки загружается код атакующего.

Вредоносный struct.py при этом экспортирует настоящие функции _struct, поэтому декодирование продолжается как обычно. Параллельно обфусцированный код запускает отдельный процесс Python, который скачивает и выполняет удаленный пейлоад. Во время демонстрации исследователь использовал полезную нагрузку, которая устанавливала соединение с управляющим сервером и открывала калькулятор.

Также Ребергер отмечает, что для обхода защитных механизмов Claude он обфусцировал файл struct.py при помощи ChatGPT.

Специалист рассказывает, что протестировал и другой вариант атаки. В этом случае вредоносный модуль запускал второй экземпляр Claude Code без интерфейса через claude -p. Этот дочерний агент получал собственный контекст и доступ к инструментам, после чего выполнял базовую разведку командами whoami, uname и id, открывал калькулятор и записывал файлы в домашнюю директорию пользователя.

В общей сложности Ребергер протестировал три варианта атаки по пять раз каждый, и в среднем процент успеха варьировался от 60% до 80%. Исследователь признает, что эта выборка слишком мала для исчерпывающих выводов, однако считает результаты весьма показательными.

При этом инженеры Anthropic закрыли отчет Ребергера о проблеме со статусом Informative и заявили, что система работает штатно. По словам исследователя, в компании объяснили это тем, что Auto Mode был задуман как удобная функция для автоматической оценки рисков, а не как полноценный защитный механизм. Такой механизм не гарантирует защиту от сложных промпт-инжектов и ситуаций, где атака складывается из нескольких безобидных на первый взгляд шагов.

По мнению Ребергера, реальной защитой от таких атак должны служить изоляция на уровне ОС и ограничения исходящего сетевого трафика. Также он рекомендует запускать Claude Code и другие автономные агенты только в контейнерах, виртуальных машинах или других песочницах, не предоставляя им доступ к домашним директориям, SSH-ключам и облачным учетным данным.