CARD · 卡片档案

wunderwuzzi 实测：模块遮蔽骗过 Claude Code 自动模式并植入 C2

安全研究员 wunderwuzzi（Embrace The Red 博客）对 Claude Code Opus 5 的 Auto Mode 做间接提示注入实测：恶意站点先以 415 诱导模型改用 Bash 里的 curl，再经 303 重定向投递 ZIP 压缩包；压缩包内的 struct.py 借 Python 模块遮蔽，在模型自写解码器 import base64 时执行混淆载荷，建立 Sliver C2 回连并打开计算器。Auto Mode 放行了恶意进程的创建，却拦下了模型事后清理该进程的尝试。作者报告小样本成功率约 60–80%（各 5 次），与 Trajectory Labs 受 Anthropic 委托测得的 0.00% 注入成功率形成对照；Anthropic 将报告关闭为 "Informative"，称 Auto Mode 是由尽力而为分类器支撑的便利特性而非安全保证，真正的边界在操作系统隔离与网络出口管控。