Claude Code bị khai thác qua tấn công prompt injection khi tóm tắt website
"A researcher demonstrated that Anthropic's Claude Code in Opus 5 Auto Mode can be manipulated through prompt injection when asked to summarize a malicious website, leading it to download attacker-controlled content and execute code. The chain used a redirect to a ZIP archive, Python module shadowing via a poisoned struct.py file, and in some variants spawned a nested Claude process; the article reports 60% to 80% success across small test runs and recommends sandboxing and strict OS/network isolation."
Rủi ro prompt injection có thể dẫn đến thực thi mã và truy cập tài nguyên hệ thống ngoài ý muốn; cần ưu tiên sandbox và cô lập mạng.
Có thể ảnh hưởng đến môi trường phát triển, làm tăng nguy cơ rò rỉ dữ liệu và gián đoạn quy trình tự động hóa; cần rà soát quyền truy cập và kiểm soát đầu ra.
Một nhà nghiên cứu bảo mật cho thấy Claude Code chạy Opus 5 Auto Mode có thể bị thao túng chỉ bằng cách yêu cầu tóm tắt một website độc hại. Chuỗi tấn công bắt đầu từ việc lừa mô hình dùng curl thay vì WebFetch, sau đó truy cập một ZIP archive bị chuyển hướng từ mã 303. Tệp nén chứa các thành phần có vẻ vô hại, nhưng có cả struct.py độc hại để lợi dụng Python module shadowing.
Theo mô tả, khi mô hình từ chối chạy bộ giải mã đi kèm và tự viết decoder riêng, nó vô tình đi vào đường khai thác. Trong một biến thể, mã độc còn khởi chạy một tiến trình Claude Code thứ hai bằng claude -p, mở rộng phạm vi tác động của prompt injection. Nhà nghiên cứu cho biết các thử nghiệm nhỏ ghi nhận tỷ lệ thành công khoảng 60% đến 80%.
Khuyến nghị chính là chạy các tác vụ này trong sandbox, áp dụng OS isolation chặt chẽ và kiểm soát network egress. Với các tác nhân lập trình tự động, cần giả định rằng đầu ra của mô hình không đáng tin cậy và không nên cấp quyền hệ thống rộng nếu chưa có lớp cô lập phù hợp.