El investigador de seguridad Johann Rehberger afirma que engañó a Claude Code de Anthropic, ejecutando Opus 5, para que ejecutara código malicioso después de pedirle que resumiera contenido. Dijo que sus ataques de inyección de instrucciones funcionaron entre el 60 % y el 80 % de las veces, aunque advirtió que solo los probó cinco veces.
Rehberger señaló que Claude Code funcionaba con Auto Mode, la configuración predeterminada desde Aug. 14 para nuevas sesiones en los planes Pro, Max y Team. Creó un sitio web que aparentaba contener un archivo de registros de cuadernos. Claude descargó un archivo zip, se negó a ejecutar el decodificador incluido y escribió su propio decodificador en Python.
Rehberger colocó un archivo malicioso llamado struct.py en la carpeta de descargas. Como Claude ejecutó allí su decodificador, Python cargó la versión de Rehberger en lugar de la legítima. Al cargarla, el código se ejecutó, mientras el decodificador seguía funcionando. En una variante, la carga útil inició otra instancia de Claude Code con acceso a sus propias herramientas y contexto.
Anthropic encargó a Trajectory Labs probar Opus 5 frente a 72 ataques indirectos de inyección de instrucciones. La empresa dijo que ninguno de los 720 intentos en Auto Mode tuvo éxito; cada ataque se intentó 10 veces. Rehberger afirmó que su escenario no estaba incluido.
La guía pública de Anthropic indica que Auto Mode no elimina el riesgo y recomienda revisión humana para acciones de alto impacto.
Comentarios
0Aún no hay comentarios. Escribe el primero.