Pesquisador quebra modo automático do Claude Code contra injeção

O ataque ao modo automático

A Anthropic tornou o modo automático do Claude Code a configuração padrão e fez afirmações fortes sobre sua capacidade de proteger usuários de agentes de programação contra ataques de injeção de comandos. O pesquisador Johann Rehberger encontrou um ataque que, segundo ele, funciona em 80% das vezes. A técnica induz o Claude Code a baixar e descompactar um arquivo ZIP e, em seguida, executar código que importa base64.

O problema está em um comportamento indireto do Python: a importação também faz com que um arquivo local chamado struct.py, extraído do arquivo compactado, seja carregado e executado. Dessa forma, o agente pode iniciar um código malicioso sem perceber que a operação aparentemente relacionada a base64 também aciona esse arquivo local. O texto não apresenta uma avaliação independente da taxa de sucesso, mas relata a estimativa atribuída a Rehberger.

A falha do próprio mecanismo de proteção

Em alguns testes, o modo automático não apenas deixou o código potencialmente nocivo continuar em execução, como impediu diretamente que o agente interrompesse o processo. Em outras execuções, o Claude identificou que havia ocorrido um comprometimento e tentou encerrar o processo de malware. Ainda assim, o Auto Mode bloqueou o comando de limpeza.

Esse comportamento expõe uma limitação estrutural do classificador de segurança: ele permitiu a criação do processo malicioso, mas depois bloqueou o comando destinado a interrompê-lo. Assim, o mecanismo de proteção acabou participando da falha. O texto também observa que o agente pode detectar o comprometimento sem conseguir concluir a resposta corretiva.

A recomendação de contenção

A conclusão apresentada é que agentes executados sem supervisão, quando podem atrair a atenção de um atacante, não devem depender apenas do modo automático para sua segurança. A recomendação é executá-los em um contêiner, máquina virtual ou sandbox do sistema operacional; restringir as conexões de saída da rede; monitorar o comportamento dos agentes; e impedir o acesso do ambiente de execução a diretórios pessoais, chaves SSH e credenciais de serviços de nuvem.

Essas medidas procuram limitar o impacto caso uma injeção de comandos consiga influenciar o agente. O argumento central não é que o Auto Mode nunca funcione, mas que a possibilidade de o classificador permitir a criação do processo e bloquear sua interrupção torna insuficiente confiar exclusivamente nessa camada de proteção para executar agentes de programação de forma autônoma.