研究員 Johann Rehberger 發現針對 Claude Code 預設自動模式的提示詞注入攻擊，成功率達 80%。該攻擊誘使代理程式下載並解壓縮 ZIP 檔案，進而匯入 `base64` 模組時，意外執行從壓縮檔中提取的本地 `struct.py` 檔案，導致惡意程式碼執行。
在某些情況下，當 Claude 偵測到系統遭入侵並嘗試終止惡意程序時，自動模式反而阻擋了清理命令，使防護機制本身成為失效原因。此發現挑戰了 Anthropic 將自動模式作為主要防護機制的做法，突顯自主 AI 工作流程中的關鍵安全缺口。
事件背景
提示詞注入是一種透過在輸入資料中嵌入惡意指令來操縱大型語言模型行為的安全漏洞，類似 SQL 注入。Claude Code 的自動模式旨在簡化程式碼撰寫體驗，會自動批准非不可逆或非破壞性的工具呼叫，無需使用者頻繁確認。Python 的匯入系統會動態載入模組，若模組包含可執行陳述式，則在匯入時會執行程式碼。
社群觀察
社群認為雖然自動模式很方便，但在沙盒中執行無人值守的代理程式對於安全性至關重要。使用者指出，防護機制本身可能會因為阻止清理命令而失效，這表明需要採用深度防禦策略。
