Claude Code Opus 5のAuto Modeを突破：80%の成功率でコード実行を達成
Breaking Claude Code Opus 5 Auto Mode
Anthropicが委託した第三者評価で「Opus 5のAuto Modeはプロンプトインジェクション攻撃成功率0.00%」と報告されたが、実際には巧妙な攻撃チェーンで最大80%の成功率を達成できることが判明した。Auto Modeは人間の承認プロンプトを安全分類器に置き換えたが、WebFetchからcurlへの移行、ZIPアーカイブ内のPythonモジュールシャドーイング（struct.py）を利用することで、Claude自身が書いたデコーダーが悪意あるコードを実行する。さらに、Auto Modeがクリーンアップコマンドをブロックする事例も確認され、分類器がセキュリティ保証ではないことが浮き彫りになった。
Auto Modeは、人間の承認プロンプトを安全分類器に置き換える。しかし、分類器はサンドボックスではない。
HNでの議論
101- andai
>しかし、そのデコーダーは攻撃者が制御するディレクトリ（解凍されたアーカイブ）内で実行される
>そこに悪意のあるstruct.pyがあり、Pythonの標準実装をシャドウイングする
私自身もこれに遭遇したことがあります。適当な名前を付けたファイルが、Pythonの標準ライブラリモジュールをシャドウイングしてしまい、起動時に最も奇妙なクラッシュを引き起こしたのです。
これは明らかに、設計としてそうあるべきではないと思います。目に見えるものをすべて魔法のように静かにインポートして、基本的な機能を上書きしてしまうなんて。
- rcxdude
これは本当にプロンプトインジェクション攻撃とは呼べないと思います。エージェントを悪意のあるものに乗っ取るわけではないからです（記事では後でその点について議論しています）。どちらかというと、Claudeを特に騙すことを狙ったトロイの木馬です。
- colinmarc
これについて私が興味深いと思うのは、Claudeの特定の癖を狙っている点です。Anthropicは、同じツールに確実に手を伸ばすモデルを作りました（そうです、フレーズもそうです。`python -c`はそのモデルにとって重要なツールです）。誰もが同じモデルを使うので、モデルの行動パターンを学習することで、より効果的に狙うことができます。
- kstenerud
これは、私がエージェントをサンドボックス内で実行する多くの理由の1つです（そして、エージェント用サンドボックスソフトウェアを書いた理由でもあります）。
かつて、私のClaudeエージェントがhttps://some-weird-domain.comに接続できないと文句を言っているのを見つけました。ネットワークがダウンしているからです（必要ないときはサンドボックスでネットワークを無効にし、API接続を仲介しています）。なぜそこを見ていたのか尋ねると、私が頼んだからだと言いました。
プロンプトインジェクションの証拠は見つかりませんでしたが、確かに疑心暗鬼になりました。
- comboy
興味深い攻撃で、非常によく設計されています。ただし、オートモード自体とはあまり関係ないかもしれません。
- hahn-kev
Python開発者ではない私にとって、同じフォルダに特定の名前のファイルがあるだけでシステムライブラリが変更されるというのは、非常に驚くべき動作です。
- alkonaut
サンドボックス化の問題は、通常の開発環境（巨大なIDE、クローンした巨大リポジトリ、インストール済みの依存関係など）が簡単にサンドボックス化できないことです。Claude CLIを実行するために「セカンドマシン」や「隔離された環境」を設定することはできません。少なくとも、VM、物理ハードウェア、コンテナなどの意味では無理です。ツールやディレクトリをホワイトリスト化するためのベストプラクティスが何かはわかりませんが、今のところ役に立つモードは「すべて許可して昼食に行く」だけです。そして、それが正しい使い方ではない気がしますが、現状はそうなっています。
- Phemist
このデフォルトのオートモードと誤解を招くマーケティングは、損害が蓄積されれば集団訴訟を招くでしょう。特に、オートモードがクリーンアップを積極的に妨げることさえできることを考えるとなおさらです。