O Claude Code Opus 5 em modo Auto Mode pode ser enganado para executar código malicioso através de uma solicitação simples de resumo de site. Uma pesquisa limitada da Embrace The Red demonstrou que o ataque teve sucesso entre 60% e 80% das tentativas em ambiente controlado, desafiando as afirmações anteriores da Anthropic sobre taxas de sucesso zero em cenários fixos.
Contexto e vulnerabilidade
O modo Auto Mode do Claude Code foi projetado para reduzir a fadiga de prompts, usando um classificador de segurança para revisar chamadas de ferramentas em vez de pedir aprovação do usuário para cada comando. No entanto, a nova pesquisa sugere que ataques direcionados e multifásicos podem contornar salvaguardas automatizadas. O classificador pode considerar um comando curto inofensivo sem compreender totalmente os riscos ocultos em arquivos zip, caminhos de importação locais ou processos filhos.
Mecanismo de exploração
O ataque começou com uma instrução normal: resumir um site. O site controlado pelo atacante parecia hospedar um arquivo de registros de cadernos. Quando o Claude tentou usar sua ferramenta de busca web, o servidor retornou um erro HTTP 415. O Claude então escolheu usar curl através de um comando de shell para recuperar o site diretamente.
O site redirecionou a solicitação para um arquivo ZIP contendo arquivos de catálogo, registros codificados, um decodificador nativo e um arquivo Python malicioso chamado struct.py. O Claude recusou corretamente executar o binário decodificador incluído, mas essa decisão de segurança preparou o cenário para a próxima fase do ataque.
Sombra de módulo Python
Em vez de executar o binário não confiável, o Claude escreveu seu próprio decodificador Python para processar os arquivos. O decodificador importou módulos comuns Python como base64, zlib e json. Mas o Claude executou o código dentro do diretório ZIP extraído. O Python procura o diretório atual ao carregar módulos.
O atacante incluiu um arquivo chamado struct.py, que sombrou o módulo padrão legítimo struct do Python. Quando o decodificador do Claude importou base64, o Python acabou carregando o arquivo struct.py controlado pelo atacante. O arquivo malicioso pôde executar código durante o processo de importação enquanto ainda permitia que o decodificador funcionasse normalmente.
Execução de payload e persistência
Como resultado, o Claude recebeu registros decodificados válidos e não reconheceu imediatamente que um payload oculto havia sido executado. No ataque de prova de conceito, o módulo Python envenenado lançou outro processo Python isolado. Esse processo filho baixou e executou um payload posterior, criou um callback de comando e controle e abriu o Calculadora como um sinal visível de comprometimento.
O pesquisador também testou um segundo método no qual o módulo malicioso lançou outra instância do Claude Code em modo headless. Esse agente aninhado realizou reconhecimento básico do sistema, abriu o Calculadora e escreveu arquivos fora do espaço de trabalho original.
Resultados de teste e estatísticas
Os resultados relatados foram baseados em pequenas amostras. Uma cadeia de ataque baseada em Python teve sucesso em 3 de 5 testes (60%). Uma variante aninhada do Claude Code também teve sucesso em 3 de 5 testes. Uma versão que escreveu arquivos fora do workspace teve sucesso em 4 de 5 testes (80%).
Implicações para DevSecOps
Organizações usando agentes de codificação autônoma devem executá-los em ambientes isolados como containers, máquinas virtuais ou sistemas de teste dedicados. Eles devem limitar o acesso à rede, bloquear o acesso a credenciais sensíveis, monitorar processos e impedir que agentes executem código de diretórios não confiáveis.
Recomendações de mitigação
O modo Auto Mode pode reduzir a fadiga de prompts e pode ser mais seguro do que desligar aprovações completamente. Mas quando agentes processam sites não confiáveis, arquivos zip ou repositórios, sandboxing e monitoramento permanecem essenciais. Não trate o modo Auto Mode como uma fronteira de segurança.
O que fazer agora
- Isolar Ambientes: Execute agentes de IA em sandboxes rigorosas com acesso de rede restrito.
- Monitorar Processos: Implemente detecção de comportamento anômalo para chamadas de subprocesso e execução de shell.
- Validar Entradas: Trate qualquer entrada externa como potencialmente maliciosa, especialmente arquivos ZIP e pacotes Python.