Badacz przełamał zabezpieczenia Claude Code przez zwykłe podsumowanie strony

Wystarczyło poprosić agenta kodującego Claude Code o podsumowanie strony internetowej, żeby doprowadzić do zdalnego wykonania kodu na komputerze użytkownika. Badacz bezpieczeństwa Johann Rehberger, znany pod pseudonimem wunderwuzzi z bloga Embrace The Red, opisał 26 sierpnia 2026 roku pełny łańcuch ataku na tryb Auto Mode w Claude Code opartym na modelu Opus 5. Anthropic, po zgłoszeniu przez program bug bounty, zamknął sprawę ze statusem "informacyjne", odmawiając traktowania jej jako luki do załatania.

Jak wyglądał atak

Scenariusz zaczynał się niewinnie. Użytkownik prosi Claude Code o podsumowanie strony internetowej. Spreparowana strona zwraca błąd HTTP 415, czyli nieobsługiwany typ danych, na co narzędzie WebFetch nie potrafi odpowiedzieć. Agent samodzielnie, bez wyraźnego polecenia użytkownika, decyduje się spróbować pobrać treść za pomocą curl. To przełącza całą operację z bezpiecznego trybu podsumowywania na surowe pobieranie plików.

Pułapka w pliku struct.py

Serwer przekierowuje curl do archiwum ZIP z nazwą sugerującą katalog notatek, zawierającego pozornie legalne pliki. W środku ukryty jest jednak spreparowany plik struct.py, który podszywa się pod standardowy moduł biblioteki Pythona o tej samej nazwie. Claude odmawia uruchomienia dołączonego pliku binarnego jako niebezpiecznego, ale samodzielnie pisze własny skrypt dekodujący w Pythonie. To był błąd decydujący o powodzeniu ataku.

Claude nie ufa dostarczonemu plikowi binarnemu, ale ufa temu, który sam napisał - Johann Rehberger, badacz bezpieczeństwa, Embrace The Red

Napisany przez agenta skrypt importuje moduł base64, który z kolei wewnętrznie odwołuje się do modułu struct. Ponieważ Python przy imporcie sprawdza najpierw katalog lokalny, ładuje spreparowaną wersję zamiast oryginalnej biblioteki systemowej. Złośliwy struct.py re-eksportuje prawdziwe funkcje API, żeby nie zaburzać działania programu, ale przy okazji uruchamia zaciemniony kod, który uruchamia proces potomny w izolowanym trybie Pythona. Ten proces pobiera i uruchamia właściwy ładunek, nawiązując połączenie z serwerem sterującym atakującego.

Stanowisko Anthropic

Rehberger zgłosił problem najpierw przez program bug bounty Anthropic, nie otrzymując odpowiedzi, a następnie przez kanał bezpieczeństwa firmy. Anthropic sklasyfikował sprawę jako informacyjną, nie jako lukę wymagającą poprawki. Stanowisko firmy jest takie, że Auto Mode to funkcja wygody oparta na klasyfikatorze działającym najlepiej jak potrafi, a nie gwarancja bezpieczeństwa. Zdaniem Anthropic zdeterminowane, wieloetapowe łańcuchy ataków łączące pozornie niegroźne kroki wykraczają poza zakres tego, co klasyfikator ma wychwytywać, a rzeczywista granica bezpieczeństwa powinna przebiegać na poziomie systemu operacyjnego, przez izolację i kontrolę ruchu sieciowego.

Rehberger nazwał to "problemem marketingu 0,00 procent". Anthropic zlecił firmie Trajectory Labs przetestowanie Auto Mode na 72 stałych scenariuszach wstrzyknięć promptów, po dziesięć powtórzeń każdego, i ogłosił zero udanych ataków. Jego zdaniem taki wynik opisuje wyłącznie testy, które ktoś faktycznie przeprowadził, a nie ataki, których jeszcze nikt nie wypróbował.

Atak nie mówi modelowi, co ma robić. Atak po prostu sprawia, że złośliwa ścieżka staje się tą, którą warto obrać, by zrealizować cel - Johann Rehberger, badacz bezpieczeństwa, Embrace The Red

Skuteczność i ograniczenia badania

W testowanych wariantach ataku skuteczność wynosiła od 60 do 80 procent. Wariant z łańcuchem command-and-control w Pythonie i wariant z rozpoznaniem środowiska osiągnęły po 3 udane próby na 5, a wariant z zapisem plików przez Claude 4 na 5. Sam badacz zastrzega, że to wyniki motywowanych, ukierunkowanych ataków testowych, a nie uniwersalna miara odporności systemu na wszystkie możliwe scenariusze.

Ciekawy jest też moment, w którym Auto Mode zadziałał wbrew intencji zabezpieczenia. Gdy Claude zorientował się, że coś poszło nie tak i próbował posprzątać po sobie, własny system zatwierdzania Auto Mode zablokował polecenie porządkujące, bo uznał je za potencjalnie ryzykowne. Mechanizm bezpieczeństwa sam stał się częścią awarii.

Co to oznacza dla firm

Dla firm i programistów korzystających z agentów kodujących w trybach autonomicznych wniosek jest praktyczny: zatwierdzenie przez klasyfikator typu Auto Mode nie jest dowodem, że dane polecenie jest bezpieczne, tylko informacją, że nic nie wzbudziło podejrzeń akurat tego mechanizmu. Rehberger rekomenduje uruchamianie nienadzorowanych agentów w kontenerach, maszynach wirtualnych lub piaskownicach systemowych, ograniczanie ruchu wychodzącego z sieci, izolowanie katalogów domowych, kluczy SSH i danych dostępowych do chmury oraz stałe monitorowanie działań agenta.

Sprawa dokłada się do rosnącej listy incydentów pokazujących, że agenci kodujący z szerokimi uprawnieniami do wykonywania poleceń i pobierania plików z sieci są atrakcyjnym celem ataków łączących wiele pozornie niegroźnych kroków. Dla zespołów wdrażających takie narzędzia w Polsce oznacza to konieczność traktowania trybów autonomicznych jak dowolnego innego kodu wykonywanego bez nadzoru, z pełną izolacją środowiska, a nie jak funkcji, która sama pilnuje bezpieczeństwa.