Prompt injection обошёл Auto Mode в Claude Code и помешал остановить атаку

Атака заставляла Claude Code скачать и распаковать ZIP-архив, а затем выполнить Python-код с импортом base64. Подмена была спрятана в локальном файле struct.py из архива: из-за порядка разрешения импортов обращение к обычному модулю приводило к загрузке и выполнению подложенного файла. Это показательный класс атак на coding-агентов — опасная инструкция может находиться не в явном сообщении пользователя, а в репозитории, архиве, документации или другом обрабатываемом содержимом.

Особенно неприятным оказался конфликт между моделью и слоем контроля. В части запусков Claude распознавал компрометацию и пытался завершить вредоносный процесс, однако Auto Mode отклонял команду очистки. Получалось, что классификатор разрешил действие, создавшее угрозу, но заблокировал последующее защитное действие. Заявленная частота успеха — результат исследователя для конкретной техники, а не универсальная оценка всех атак или конфигураций Claude Code.

Практическая защита поэтому не должна зависеть только от решения модели или классификатора команд. Для автономного запуска coding-агента в потенциально враждебной среде нужны контейнер, виртуальная машина либо системная песочница, ограничение исходящего сетевого доступа и наблюдение за процессами. Домашний каталог, SSH-ключи и облачные учётные данные не следует подключать к такому окружению без необходимости: Auto Mode может снизить риск, но этот пример не позволяет считать его границей безопасности.