Säkerhetsforskaren Johann Rehberger säger att han lurade Anthropic’s Claude Code, som körde Opus 5, att köra skadlig kod efter att han bett verktyget sammanfatta innehåll. Han uppgav att hans promptinjektionsattacker lyckades i 60 % till 80 % av testerna, men påpekade att han bara testade dem fem gånger.
Rehberger sade att Claude Code körde Auto Mode, standardinställningen sedan Aug. 14 för nya sessioner med Pro-, Max- och Team-planerna. Han skapade en webbplats som såg ut att innehålla ett arkiv med anteckningsböcker. Claude laddade ner en zip-fil, vägrade köra den medföljande avkodaren och skrev en egen avkodare i Python.
Rehberger placerade en skadlig fil med namnet struct.py i mappen för nedladdningar. Eftersom Claude körde sin avkodare där laddade Python Rehbergers fil i stället för den riktiga. När filen lästes in kördes hans kod, samtidigt som avkodaren fortsatte att fungera. I en variant startade nyttolasten en andra Claude Code-instans med egen verktygsåtkomst och kontext.
Anthropic hade låtit Trajectory Labs testa Opus 5 mot 72 indirekta promptinjektionsattacker. Företaget sade att ingen av de 720 försöken i Auto Mode lyckades; varje attack testades 10 gånger. Rehberger sade att hans scenario inte ingick.
Anthropic skriver offentligt att Auto Mode inte eliminerar risk och rekommenderar mänsklig granskning för åtgärder med höga insatser.
Kommentarer
0Inga kommentarer ännu. Skriv den första.