باحث يدّعي تجاوز Auto Mode في Claude Code عبر محتوى ويب خبيث وسلسلة Prompt Injection
عرض باحث أمني سلسلة هجوم يقول إنها دفعت Claude Code Opus 5 في وضع Auto Mode إلى تنفيذ كود على الجهاز بعد طلب بسيط لتلخيص موقع ويب. ووفقاً لاختباراته المحدودة، تراوحت نسبة نجاح الهجوم بين 60% و80%، بينما نقل أن Anthropic تعتبر Auto Mode ميزة للراحة وليست حدّاً أمنياً بديلاً عن العزل على مستوى النظام.
أبرز النقاط
- الباحث يدّعي أن طلب تلخيص موقع يمكن أن يقود Claude Code في Auto Mode إلى تنفيذ كود عبر سلسلة Prompt Injection متعددة الخطوات.
- السلسلة تستفيد من انتقال الوكيل إلى shell، وتنزيل أرشيف، ثم تشغيل برنامج Python يكتبه الوكيل داخل مجلد غير موثوق.
- جوهر التقنية الموصوفة هو Python module shadowing، حيث يحل ملف داخل الأرشيف محل وحدة قياسية عند الاستيراد.
- نسب النجاح المذكورة، بين 60% و80%، جاءت من عينات صغيرة ويصفها الباحث بأنها غير شاملة.
- بحسب التقرير، Anthropic ترى أن Auto Mode ليس sandbox ولا ضماناً أمنياً، وأن العزل والتحكم في الشبكة هما الحد الأمني الفعلي.
- نتيجة 0.00% في تقييم سابق ارتبطت بمجموعة سيناريوهات محددة، لا بكل سلاسل الهجوم الممكنة.
يقول باحث أمني إن وضع Auto Mode في Claude Code يمكن دفعه إلى تنفيذ كود خبيث عبر طلب عادي لتلخيص موقع ويب، إذا احتوى الموقع على سلسلة محتوى مصممة بعناية لتوجيه الوكيل نحو خطوات تبدو مشروعة ظاهرياً.
بحسب التقرير، يبدأ السيناريو من صفحة ويب تقدم أرشيفاً مزعوماً للملفات. وعندما يفشل Claude Code في جلب الصفحة عبر WebFetch، ينتقل في بعض المحاولات إلى استخدام curl ثم يتبع إعادة توجيه لتنزيل أرشيف ZIP. يحتوي الأرشيف على بيانات تبدو قابلة للفحص، إلى جانب أداة فك ترميز ثنائية يتجنب النموذج تشغيلها.
التحول الحاسم، وفقاً للباحث، يحدث عندما يكتب Claude Code برنامج Python بديلاً لفك البيانات بدلاً من تشغيل الملف الثنائي. تشغيل هذا البرنامج من داخل مجلد الأرشيف يسمح لملف Python خبيث يحمل اسم وحدة قياسية بتظليل الوحدة الأصلية عند الاستيراد، ما يؤدي إلى تنفيذ كود غير مقصود أثناء عملية فك الترميز.
يؤكد التقرير أن النتائج مبنية على عينات صغيرة وليست قياساً شاملاً لمعدل نجاح الهجمات. لكنه يذكر نجاح السلسلة في نسبة تراوحت بين 60% و80% بعد تحسين الحمولة، مع حالات اكتشف فيها Claude Code المشكلة متأخراً بعد تنفيذ الأثر بالفعل.
ومن الملاحظات اللافتة في التجارب أن Auto Mode سمح، في بعض الحالات، بالخطوة التي أنشأت العملية الخبيثة، ثم منع أمر التنظيف الذي حاول إيقافها لاحقاً. هذه النتيجة، إن كانت قابلة للتكرار، تبرز أن تصنيف الأوامر المنفردة لا يكفي دائماً لفهم أثر سلسلة عمليات مترابطة.
ينقل الباحث أنه أبلغ Anthropic بالنتائج، وأن الشركة صنفت التقرير على أنه "Informative" واعتبرت السلوك متوافقاً مع التصميم. ووفقاً للرواية المنشورة، ترى Anthropic أن Auto Mode يعتمد على classifier لتقليل المخاطر وتسهيل الاستخدام، لكنه ليس ضماناً أمنياً ضد سلاسل Prompt Injection المصممة خصيصاً؛ أما الحد الأمني الفعلي فيبقى العزل على مستوى نظام التشغيل والتحكم في اتصالات الشبكة.
يضع التقرير ذلك في مواجهة تقييم خارجي سابق، بتكليف من Anthropic، أشار إلى نسبة نجاح 0.00% لهجمات indirect prompt injection ضمن 72 سيناريو ثابتاً. ويرى الباحث أن الرقم لا يتعارض تقنياً مع نجاح سلسلته خارج تلك السيناريوهات، لكنه قد يعطي انطباعاً أوسع من نطاق الاختبار الفعلي.
للمطورين الذين يشغلون coding agents بصلاحيات واسعة أو دون موافقات تفاعلية، الخلاصة العملية ليست الاعتماد على Auto Mode كبديل للعزل. تشغيل الوكلاء داخل Container أو VM أو sandbox، تقييد network egress، وعدم إتاحة مفاتيح SSH وcredentials وملفات المنزل للوكيل، تبقى ضوابط أساسية خصوصاً عند التعامل مع محتوى ويب أو ملفات غير موثوقة.
لماذا يهم؟
تزداد فائدة coding agents كلما منحت صلاحيات أوسع، لكن ذلك يرفع أيضاً أثر أي قرار خاطئ يتخذه الوكيل أثناء قراءة محتوى غير موثوق. القصة تذكّر الفرق العملي بين طبقة تقلل المخاطر، مثل classifier للموافقات، وبين security boundary حقيقية مثل VM أو Container مع صلاحيات وnetwork egress مقيدين.