一句话看懂：安全研究员发现，只需诱导 Anthropic 的 Claude Code 去“总结一个恶意网站”，就能在 Auto 模式下以最高 80% 的成功率触发任意代码执行，甚至派生出一个全新的 AI 子代理。该攻击利用的是 Python 模块遮蔽与模型自身的“安全决策”，而非直接对抗系统权限。
事件核心：发生了什么
安全研究员 Johann Rehberger（又名 wunderwuzzi）在 8 月底公开了一种针对 Claude Code Auto 模式（Opus 5 默认设置）的提示注入攻击手法。攻击者只需让编码代理“总结一个网站”，该网站返回 415 错误，诱导模型放弃官方的 WebFetch 工具，转而通过 Bash 调用 curl 直接抓取内容。随后网站 303 跳转至一个恶意 ZIP 压缩包，内含伪装成 notebook 记录的文件、一个解码器二进制文件，以及一个名为 struct.py 的恶意 Python 文件。
关键漏洞环节在于：Claude 出于安全考量拒绝运行压缩包内自带的解码器，转而自行编写解码脚本，而该脚本会导入 Python 标准库 base64，base64 又依赖 struct 模块——正好被恶意文件通过“模块遮蔽”手法劫持。Rehberger 用 ChatGPT 对恶意代码做了混淆以绕过安全审查，最终实现远程控制回调（演示中是打开计算器），甚至能启动第二个 headless 的 Claude Code 子代理（claude -p），执行 whoami、uname 等侦察命令。
Rehberger 在三种攻击变体中各测试五次，成功率介于 60% 至 80%。他承认样本量较小，但对有动机的攻击者而言具有代表性。
为什么重要
Anthropic 对 Rehberger 的回应是“模型行为符合设计预期”，并强调 Auto Mode 背后的分类器“并非安全边界”。这一表态与之前多起 AI 安全事件的官方口径一致，但暴露了行业更深层的问题：基于 LLM 的 agentic 编程工具将“是否执行某个命令”的判断权交给了模型本身，而模型遵循的是一种概率性的安全直觉，无法穷举对抗性链条。
该攻击尤其值得警惕的点在于——它并不依赖零日漏洞或系统级提权，而是利用“模型拒绝运行攻击者提供的解码器、选择自己动手写”这一看似安全的决策路径。这意味着，单纯依靠模型对齐或安全训练无法根治此类漏洞。只要工具链中保留了 Bash/curl 这类通用执行能力的“逃生口”，提示注入就从“文本层面的把戏”升级为“可重复利用的攻击面”。
对行业而言，这是一个信号：代码代理（coding agent）的沙箱隔离已从建议变成必需品，而不是可选项。
对用户/开发者/创作者的影响
对使用 Claude Code、Cursor 等 AI 编程工具的开发者，最直接的行动建议是：不要让代理在无隔离权限的环境下访问不可信网络内容。尤其是“让 AI 总结某个 URL”这类的日常操作路径，即使动机完全无害，也可能成为攻击链的入口。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
对企业团队来说，若已在 CI/CD 流水线中接入 agentic 编程工具，建议检查运行环境的网络出口控制、文件系统权限和进程隔离。OS 级沙箱（如容器、虚拟机）是当前唯一的可靠边界——Rehberger 的核心结论即“不要信任模型输出”。
对独立创作者或小型团队，风险相对可控但仍需意识到：以“自动化总结网页”为名诱导模型是高度隐蔽的攻击方式，即使模型显示拒绝执行恶意二进制，也可能在“自己写解码器”的过程中踩中模块遮蔽陷阱。
值得关注的后续
目前公开信息显示，Anthropic 并未确认是否调整 Auto Mode 的分类器策略。值得观察的方向有三个：
一是 Claude Code 是否会在后续版本中限制 Bash 工具的 URL 直接访问或自动下载行为；二是各 AI 编程工具（如 OpenAI Codex、Google Jules 等）是否会因该演示而将“默认隔离”提升为强制模式；三是安全社区是否会基于“模块遮蔽 + 引导模型自写代码”的模式，继续挖掘其他通用编程库（如 os、subprocess）的同类攻击链。
