Скрит текст в сайт кара Claude Code да пуска код

Изследователят по сигурността Йохан Ребергер (известен като wunderwuzzi) показа на 26 август как Claude Code с Opus 5 може да бъде подмамен да изпълни чужд код на машината ви — при това без нито една подозрителна команда от страна на потребителя. Единственото, което трябва да напишете, е „обобщи ми този сайт“. Случаят беше описан от The Register на 28 август, а Anthropic го класифицира като „информативен“, а не като уязвимост за поправяне.

Веригата: пет стъпки, нито една от които не изглежда злонамерена

Атаката е публикувана в детайли в блога Embrace The Red. Тя не разчита на команда „изтрий всичко“, скрита в бял текст на страницата. Разчита на нещо доста по-фино.

Стъпка 1 — сваляне на инструмента. Сайтът връща HTTP 415 в отговор на WebFetch. Claude приема, че вграденият инструмент не се справя с този тип съдържание, и минава на curl през bash. Излиза от собствената си пясъчна кутия по своя воля.

Снимка: Embrace The Red

Стъпка 2 — отровеният архив. Пренасочване 303 води до WIC-notebook-catalogue.ZIP — уж каталог с научни тетрадки. Вътре има седем JSON записа, кодирани с Base85 и zlib, декодер за macOS на име decoder-darwin и файл struct.py.

Стъпка 3 — парадоксът на безопасността. Claude отказва да пусне непознатия двоичен декодер. Това е правилното решение. И точно то е капанът: вместо да спре, моделът написва свой Python декодер и го изпълнява от папката с разархивираните файлове.

Стъпка 4 — засенчване на модул. Скриптът прави import base64. Python обаче първо търси модули в текущата директория, а там го чака подхвърленият struct.py. Стандартната библиотека е засенчена и при импорта се изпълнява обфускиран израз.

Стъпка 5 — C2 канал. Отровеният модул стартира изолиран подпроцес с python3 -I -c, който сваля и пуска native агент за отдалечен контрол.

Снимка: Embrace The Red

Формулировката на самия Ребергер обяснява защо това работи: „Атаката не казва на модела какво да прави. Атаката просто прави злонамерения път най-логичния за следване.“

60 до 80 процента успеваемост

Изследователят е тествал три варианта по пет пъти. Веригата с native payload за C2 минава в 3 от 5 опита, вариантът с вложен подпроцес на Claude — също 3 от 5, а вариантът, който само записва файл — 4 от 5. Тоест между 60 и 80 процента.

Има и по-неприятен детайл. В един от случаите Claude сам е забелязал, че нещо не е наред, и е опитал да убие процеса на зловредния код. Auto Mode е блокирал командата за почистване като потенциално разрушителна. Защитата е спряла лечението, а не заразата.

Отговорът на Anthropic

Anthropic не отрича демонстрацията, но не я третира като дупка за запушване. Позицията, цитирана от Ребергер, е кратка: „Auto Mode е функция за удобство, подкрепена от класификатор с най-добро усилие, а не гаранция за сигурност.“

Тук се появява несъответствие в комуникацията. Външна оценка, поръчана от самата Anthropic, отчете 0,00 процента успеваемост на prompt injection при 72 фиксирани сценария. Тази верига обаче не е сред тях. Числото е вярно за своя набор от тестове и подвеждащо като общо твърдение.

Auto Mode стана режим по подразбиране в Claude Code на 14 август 2026 г. за плановете Pro, Max и Team. Ако сте следили случая със заличените 700 GB домашна директория, знаете, че класификаторът вече веднъж пусна нещо, което не биваше.

Какво следва оттук

Препоръката на Ребергер е практична и скучна: не пускайте агенти без надзор извън контейнер или виртуална машина, ограничавайте изходящия мрежов трафик, контролирайте изрично създаването на процеси и пътищата. И най-важното — „не се доверявайте на изхода на модела“.

Индустрията стига до същия извод от другата страна. VentureBeat описва тристепенна архитектура за защита на агенти: инфраструктурен слой с атестация на хардуера, мрежов слой, който третира всеки агент като отделна мрежова идентичност със zero trust сегментация, и control plane за централно управление на правата и достъпа до инструменти. Оскар Валберг от Nutanix го формулира така: „Предпазните механизми, които улавят злонамерен prompt, няма да спрат агент да халюцинира и да направи нещо, което никога не е трябвало.“

Проблемът се изостря и от скоростта, с която агентите работят и от двете страни на барикадата. Саймън Уилисън описа тази седмица как публикувани пачове започват да бъдат атакувани в рамките на десет минути, а поддържащият rclone Ник Крейг-Уд е получил над 40 доклада за сигурност за месец срещу 20 за предишното десетилетие.

Заключение

Демонстрацията не е екзотична. Тя ползва напълно легитимни възможности на агента — fallback към curl, писане на собствен скрипт, изпълнение в работната папка — и ги нарежда в ред, който води до отдалечено изпълнение на код. Докато агентите имат достъп до shell и мрежа едновременно, всеки сайт, който им дадете да прочетат, е вход за данни от недоверен източник. Същото важи и за вградения браузър в Claude Cowork. Изводът е един: пясъчната кутия не е параноя, а базова хигиена.