Авторежим Claude Code пробили: как чужой сайт заставляет агента запустить вредонос (2026)

Защиту авторежима Claude Code пробили на практике. Исследователь Иоганн Регбергер опубликовал 26 августа 2026 цепочку, где обычная просьба «суммаризируй сайт» заканчивается запуском чужого кода на машине разработчика. Успех до 80% на малой выборке. Anthropic закрыла отчёт со статусом «работает по задумке»: классификатор авторежима это удобство. Границей безопасности он никогда и не был.

Разбор важен всем, у кого агент ходит в интернет и по локальным файлам. Ниже цепочка атаки по шагам, объяснение фокуса с подменой модуля, реакция Anthropic и конкретные настройки, которые стоит поменять сегодня.

Коротко: пять терминов

• Непрямая prompt injection - команда для агента приезжает из содержимого, которое он читает: сайта, файла, README, ответа сервера.
• Авторежим (auto mode) - режим Claude Code без подтверждений, где каждый вызов инструмента судит отдельная модель-классификатор. С 14 августа 2026 он стартовый по умолчанию на Pro, Max и Team.
• Подмена модуля (module shadowing) - Python берёт файл struct.py из текущей папки вместо стандартной библиотеки.
• ASR (attack success rate) - доля прогонов, в которых атака сработала.
• C2 - сервер злоумышленника, на который заражённая машина стучится за командами после заражения.

Что произошло 26 августа 2026

Регбергер, он же wunderwuzzi, один из самых заметных исследователей prompt injection. Его пост называется «Breaking Claude Code Opus 5 Auto Mode», и он целился ровно в то, на что Anthropic делает публичную ставку.

Контекст такой. Авторежим убирает всплывающие запросы на подтверждение и ставит вместо них модель-классификатор. С середины августа он включается сам на новых сессиях. Как он устроен и что именно блокирует, мы подробно разбирали в гайде про авторежим Claude Code по умолчанию.

Вместе с включением по умолчанию прозвучала сильная цифра. Anthropic заказала стороннюю проверку у Trajectory Labs: 72 сценария непрямой prompt injection, каждый прогонялся десять раз, и Opus 5 в авторежиме показал 0,00% успешных атак. Борис Черни из команды Claude Code высказался ещё резче: prompt injection на практике почти решён, продемонстрировать его больше не получается.

Регбергер решил проверить, как это держится против целенаправленной цепочки. Получилось.

Как выглядит атака: от «суммаризируй сайт» до чужого процесса

Стартовый запрос пользователя максимально обычный: суммаризировать страницу небольшого архива с записями из блокнотов. Домен исследователь частично скрыл и отдаёт тестовое содержимое только с разрешённых IP.

Отдельно стоит запомнить последнюю деталь: отсоединённый процесс живёт дольше, чем сам диалог с Claude. Закрыть терминал уже недостаточно.

Почему сработала именно осторожность Claude

Самое неприятное в этой истории то, что ключевым звеном стало правильное решение модели.

Бинарник-декодер в архиве это приманка. Он лежит там, чтобы Claude его заметил, оценил как непроверенный чужой исполняемый файл и отказался запускать. Отказ уводит модель на путь «напишу свой декодер, так безопаснее». Своему коду Claude доверяет. И запускает его прямо там, где лежат чужие файлы.

Это же и объясняет, почему старые фильтры бесполезны. Никакого «игнорируй предыдущие инструкции» в цепочке нет. Есть HTTP-код 415, редирект и правдоподобный README. Про сам механизм таких атак и его разновидности у нас есть отдельный разбор в гайде про prompt injection простыми словами.

Подмена модуля в Python на пальцах

Механика проще, чем кажется, и её полезно понимать даже тем, кто на Python не пишет.

Когда ты запускаешь python3 в какой-то папке, Python добавляет эту папку в начало списка мест, где ищет модули. Сначала он смотрит рядом с собой, потом уже в стандартной библиотеке.

Стандартный модуль base64 внутри себя импортирует модуль struct. Значит, цепочка выглядит так:

1. Claude пишет import base64 в своей однострочной команде.
2. Python начинает импортировать base64.
3. base64 просит struct.
4. Python находит struct.py в текущей папке, потому что она в списке первая.
5. Чужой файл загружается и его код выполняется прямо во время импорта.

Подложенный struct.py при этом честно отдаёт наружу настоящий низкоуровневый интерфейс _struct. Декодирование записей проходит успешно, Claude получает валидный JSON и продолжает работу как ни в чём не бывало. Сам файл сильно обфусцирован, чтобы простой grep по подозрительным строкам ничего не нашёл. Обфускацию, по признанию автора, ему написал ChatGPT.

Самое неприятное: авторежим заблокировал уборку

В части прогонов Claude всё-таки понимал, что произошло. Он возвращался к файлу struct.py, разбирал его, признавал архив заминированным и предупреждал пользователя. Правда, иногда сообщал, что вредоносные инструкции он не выполнял, хотя выполнил.

А дальше начинается сюжет, который встречается всё чаще. Claude пытался убить запущенный процесс вредоноса, и авторежим запретил ему эту команду.

Механизм безопасности сам может стать частью сбоя. Классификатор разрешил создание вредоносного процесса, а затем заблокировал команду, которая должна была его остановить.

- Иоганн Регбергер, Embrace The Red, 26 августа 2026

Бонусный вариант: Claude запускает Claude

Второй сценарий из того же исследования выглядит ещё интереснее. Вместо дочернего процесса Python подложенный struct.py запускает второй экземпляр Claude Code в headless-режиме через claude -p.

Полезная нагрузка тут не просто выполняет код. Она создаёт нового агента со своим доступом к инструментам и своим контекстом. В прогонах вложенный Claude делал базовую разведку (whoami, uname, id), открывал Калькулятор и писал файлы в домашнюю папку, за пределами рабочей директории. Тот же эффект достижим и через вызов инструмента субагента.

Автор отмечает, что этот вариант выглядит надёжнее первого и заслуживает отдельного изучения. Про риски автономных цепочек агентов у нас есть более широкий разбор в гайде про безопасность автономных ИИ-агентов.

Сколько раз это сработало

Выборка маленькая, автор честно это оговаривает: по пять прогонов на вариант, и надёжность росла по мере доработки полезной нагрузки. Это показатель мотивированной атаки, без претензии на универсальное измерение.

Что ответила Anthropic

Регбергер сначала отправил отчёт и демонстрацию на адрес программы вознаграждений за находки в модели и ответа не получил. Тогда он продублировал через общий канал сообщений о безопасности, и оттуда ответили быстро.

Отчёт закрыли со статусом «информативно» и пометкой, что поведение соответствует задумке.

Позиция компании звучит так: авторежим это фича удобства, за которой стоит классификатор, работающий по мере сил, и никакой гарантии безопасности он не даёт. Продуманные цепочки из безобидных по отдельности шагов классификатор останавливать и не должен. Настоящая граница проходит по изоляции на уровне операционной системы и контролю исходящего сетевого трафика.

С инженерной точки зрения возразить нечему. Классификатор действительно не песочница.

Ноль процентов и восемьдесят процентов одновременно правда

Сама защита тут ни при чём. Проблема живёт в маркетинге вокруг неё.

Отсюда и расхождение в сообщениях. Публично звучит «продемонстрировать prompt injection мы больше не можем», а на конкретную демонстрацию приходит ответ, что продуманная цепочка находится вне области действия защиты. Оба утверждения по отдельности логичны, вместе они путают пользователя.

Вывод для нас прагматичный. Авторежим стоит воспринимать как страховку от собственной невнимательности, и он действительно куда лучше режима с полным отключением проверок. Границей доверия он при этом не становится.

Что сделать прямо сейчас

Собрали конкретику. Всё ниже проверяется за один вечер.

1. Включить встроенную песочницу

У Claude Code есть собственная песочница для Bash, встроенная в клиент. На macOS она опирается на системный Seatbelt и ничего доустанавливать не нужно, на Linux и WSL2 понадобятся два пакета. Нативный Windows не поддерживается, там нужно работать внутри WSL2.

Открой панель командой /sandbox прямо в сессии: она покажет режим, переопределения и итоговую конфигурацию, а на Linux ещё и вкладку с недостающими зависимостями. Выбор режима сохранится в локальные настройки проекта.

Чтобы песочница включалась во всех проектах, добавь в ~/.claude/settings.json:

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  }
}

По умолчанию команды внутри песочницы пишут только в рабочую директорию и во временную папку сессии. Ключ failIfUnavailable превращает недоступность песочницы в жёсткую ошибку вместо тихого предупреждения. Ключ allowUnsandboxedCommands со значением false включает строгий режим и отключает лазейку, через которую упавшая команда может повториться уже без изоляции.

2. Ограничить сеть

Ровно то, на чём разваливается описанная цепочка: без выхода в чужой домен вредонос не докачает свою следующую стадию.

{
  "sandbox": {
    "enabled": true,
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org", "pypi.org", "files.pythonhosted.org"]
    }
  }
}

Первый раз, когда команде понадобится новый домен, Claude Code спросит разрешение. В авторежиме этот запрос уйдёт классификатору, так что список лучше собрать заранее и осознанно.

3. Убрать ключи из зоны видимости

Отдельный блок настроек закрывает файлы с секретами и переменные окружения от команд внутри песочницы.

{
  "sandbox": {
    "credentials": {
      "files": [
        { "path": "~/.ssh", "mode": "deny" },
        { "path": "~/.aws/credentials", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Встроенного списка секретов нет, работают только те пути и переменные, которые ты перечислил сам. Если deny ломает нужные инструменты, есть режим mask: команда видит подставное значение, а настоящее подставляется прокси только на запросах к разрешённым хостам. Маскирование появилось в версии 2.1.199.

4. Поставить ask и deny на опасные глаголы

Правила разрешений проверяются раньше классификатора, поэтому они работают и в авторежиме.

{
  "permissions": {
    "deny": [
      "Bash(claude -p *)"
    ],
    "ask": [
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(unzip *)",
      "Bash(tar *)"
    ]
  }
}

Правило deny на claude -p закрывает именно тот бонусный вариант атаки, где вредонос порождает второго агента со своими правами. Правила ask на скачивание и распаковку возвращают человека в те два места, где цепочка обычно и разворачивается.

5. Приучить Claude запускать код изолированно

Классификатор читает тот же файл памяти проекта, что и сам агент, поэтому правила в CLAUDE.md управляют обоими сразу. Добавь туда пару строк про запуск чужого содержимого. Как собрать этот файл толково, разобрано в гайде про настройку Claude Code.

Добавь в CLAUDE.md этого проекта раздел «Работа с недоверенными файлами» со следующими правилами:
 
1. Никогда не запускать python3 с рабочей директорией внутри распакованного архива
   или любой скачанной извне папки. Сначала выйти в родительскую директорию.
2. Любой одноразовый python3 -c запускать с ключом -I (изолированный режим),
   чтобы текущая папка не попадала в пути поиска модулей.
3. Перед запуском кода в скачанной папке вывести список всех .py файлов в ней
   и сравнить имена со стандартной библиотекой. Совпадение имени вроде struct.py,
   json.py, os.py считать признаком подмены модуля и остановиться.
4. Скачанные архивы распаковывать во временную папку вне рабочей директории проекта.
 
Правила пиши коротко, по одной строке на пункт, без пояснений.

Что какой слой закрывает

Когда Claude отбивался сам

Ради честности стоит сказать и про удачные прогоны. Атака сработала не всегда, и в оставшихся случаях модель вела себя грамотно:

• разбирала архив статически и вообще не запускала Python из его корня;
• запускала интерпретатор с ключом -I в изолированном режиме;
• выполняла свой декодер из родительской папки, за пределами архива;
• распознавала подмену модуля до того, как её триггернуть.

Все четыре варианта поведения ты можешь закрепить правилами в памяти проекта. Тогда они перестанут зависеть от удачи конкретного прогона.

Работает ли это из России и сколько стоит

Все описанные настройки локальные, живут в ~/.claude/settings.json и от страны не зависят. От страны зависит сам доступ: Anthropic с Россией напрямую не работает, так что нужен рабочий VPN и аккаунт без российского номера. Пошагово этот путь разобран в гайде про запуск Claude Code с нуля из России.

По деньгам ничего не меняется: песочница и правила разрешений входят в любой тариф, включая бесплатный уровень. Claude Pro стоит $20 в месяц, Max стоит $100 или $200 в месяц. По курсу ЦБ на 28 августа 2026 (85,95 ₽ за доллар) Pro выходит примерно в 1720 ₽ без учёта комиссии способа оплаты. Картой российского банка Anthropic оплату не примет, работают виртуальная карта иностранного банка и сервис оплаты подписок, который проводит платёж за тебя (реферальная ссылка: тебе тот же прайс, мне небольшой процент). Подробности обоих способов собраны в гайде про оплату Claude из России.

Чек-лист: что у тебя должно быть после прочтения

• Понимание, что авторежим это фильтр удобства без гарантий, и что так же считает сама Anthropic.
• Включённая песочница: sandbox.enabled в пользовательских настройках плюс строгий режим через allowUnsandboxedCommands со значением false.
• Список разрешённых доменов в sandbox.network.allowedDomains, собранный под твои проекты.
• Закрытые ключи и токены через sandbox.credentials.files и sandbox.credentials.envVars.
• Правило deny на Bash(claude -p *) и правила ask на скачивание с распаковкой.
• Раздел про недоверенные файлы в CLAUDE.md, где прописан запуск Python из родительской папки и ключ -I.
• Привычка: агента, который ходит в интернет, держать на отдельной машине или в контейнере, без SSH-ключей и облачных учёток рядом.
• План действий на случай, когда агент сообщает о компрометации: ручной режим, остановка процессов руками, проверка исходящих соединений.

По материалам разбора Саймона Уиллисона: simonwillison.net и первоисточника Иоганна Регбергера: embracethered.com.