ИБ-исследователь Иоганн Ребергер нашёл способ обойти защиту Claude Code от выполнения произвольного кода. Атака работает против модели Opus 5 в автоматическом режиме, и для неё достаточно попросить агента пересказать содержимое специально подготовленного сайта.

Суть метода в том, что вредоносный код внедряется в текст веб-страницы, который ИИ затем обрабатывает как инструкцию. По словам эксперта, атака срабатывала в 60–80% случаев в ходе его тестов, что указывает на высокую эффективность вектора.

Проблема заключается в том, что Claude Code, работая в Auto Mode, слишком доверяет содержимому внешних источников. Система не отличает команды пользователя от данных, полученных с сайта, что и позволяет исследователю обойти существующие механизмы защиты.

Ребергер уже публиковал похожие находки ранее, но в этот раз уязвимость затрагивает именно автоматический режим, где вмешательство человека минимально. Это делает атаку особенно опасной для сценариев с полной автономией агента.

Пока неизвестно, выпустила ли Anthropic исправление для этой проблемы, но учитывая частоту срабатывания, разработчикам стоит пересмотреть политику обработки внешнего контента. В противном случае подобные методы могут использовать и злоумышленники для захвата контроля над ИИ-инструментами разработчиков.