Claude Codes Auto Mode slapp malware gjennom i opptil 80 prosent av forsøkene

«Bryr du deg om hva som skjer, og er bekymret for feiljustering, hallusinasjoner og prompt injection, er Auto Mode ingen erstatning for å kjøre agenten i et isolert miljø og overvåke hva den holder på med.» — Johann Rehberger, sikkerhetsforsker

Rehberger har publisert en angrepskjede mot Claude Code Opus 5 i Auto Mode, modusen som siden midten av august har vært standard når du starter Claude Code. Auto Mode bytter ut godkjenningsdialogene med en sikkerhetsklassifikator. Mot den kjeden oppgir Rehberger en angrepsrate på mellom 60 og 80 prosent, med det han selv beskriver som et lite utvalg.

Tallet er interessant fordi Anthropic har lagt fram et helt annet. En tredjepartsevaluering fra Trajectory Labs, bestilt av Anthropic, kjørte 72 scenarioer for indirekte prompt injection ti ganger hver og målte 0,00 prosent vellykkede angrep for Opus 5 i Auto Mode. Boris Cherny i Anthropic har beskrevet lagdelt forsvar, altså modelltrening, inndataprober og en intensjonsklassifikator, som veien til tilnærmet null på angrep modellen ikke har sett før.

Angrepet starter med en helt hverdagslig oppgave: oppsummer denne nettsiden. Serveren svarer 415 Unsupported Media Type på WebFetch-kallet, og Claude bestemmer helt på egen hånd at den skal prøve curl i stedet. Ingenting i innholdet ber den om det. Nedlastingen omdirigeres videre til et ZIP-arkiv med katalogdata, sjekksummer, kodede notatoppføringer og en macOS-binær som README-filen beskriver som dekoderen.

Her nekter Claude å kjøre binæren, og skriver i stedet sin egen dekoder i Python. Nettopp den forsiktige avgjørelsen er angrepsveien. Dekoderen kjøres inne i den utpakkede mappen, der en ondsinnet struct.py ligger og venter. Python legger den mappen i søkestien for moduler, så når base64 importeres, lastes angriperens struct.py i stedet for standardbiblioteket. Modulen returnerer det ekte lavnivå-APIet, dekodingen fortsetter som normalt, og et obfuskert uttrykk starter samtidig en isolert Python-prosess som laster ned og kjører neste trinn. Sluttresultatet er en C2-oppkobling som kan overleve samtalen.

Det mest ubehagelige funnet kommer etterpå. Rehberger beskriver det slik:

«I noen kjøringer forsøkte Claude å avslutte malware-prosessen da den oppdaget kompromitteringen, men Auto Mode nektet oppryddingskommandoen.»

Klassifikatoren tillot altså at prosessen ble opprettet, og blokkerte deretter kommandoen som skulle stoppe den. Sikkerhetsmekanismen ble en del av feilen. Rehberger er tydelig på at Auto Mode kan redusere risiko sammenlignet med å skru av tillatelser helt, men at den ikke er en sikkerhetsgrense.

Hva bør du gjøre?

1. Kjør uovervåkede kodeagenter i container, VM eller OS-sandkasse, og begrens utgående nettverkstrafikk.
2. Hold hjemmekatalog, SSH-nøkler og skylegitimasjon utenfor kjøremiljøet agenten har tilgang til.
3. Sett eksplisitte spørre- og nekteregler rundt prosessoppretting og sensitive filstier, og behandle aldri en godkjenning fra Auto Mode som bevis på at koden er trygg.