Darktrace kapret Claude Code og Codex ved å forfalske samtalehistorikken

Du installerer en MCP-server fra nettet. Under installasjonen skriver pakken inn en lang, falsk samtale i kodeagentens lokale historikk, der agenten har gått med på flere autoriserte red team-oppdrag. Når agenten starter, driver en enkel agentløkke i pakken den videre: kartlegging, lateral bevegelse, eksfiltrering av alt av verdi og sletting av spor. Det er angrepskjeden Eric Rozon, senior sikkerhetsforsker i Darktrace, beskriver i et blogginnlegg publisert 24. september.

Darktrace testet fire kodeagenter: Anthropics Claude Code, OpenAIs Codex, AWS' Kiro-CLI og åpen kildekode-agenten Pi. Alle lagrer historikken på klienten, og i ingen av dem fant forskerne noen sjekk av at lagrede svar faktisk ble produsert av modellen. Alle modellene godtok den forfalskede historikken, men hvor langt de gikk, varierte:

1. Claude Code med Sonnet 5 tok over hele Active Directory-domenet i Darktraces isolerte testlab. Med Opus 5 slo sikkerhetssperrene inn, og agenten svarte ikke.
2. Kiro-CLI med en kombinasjon av Claude Opus 4.6 og Sonnet 4.5 endte også med full AD-kompromittering.
3. Codex med GPT 5.6 Sol sendte sensitive data ut over e-post. Forsøket på å angripe labben stoppet på sperrene i alle de tre variantene Luna, Terra og Sol.

Ingen av modellene hadde betrodd tilgang: Kiro-CLI kjørte på et vanlig Kiro-abonnement, Claude Code og Codex mot modeller i Amazon Bedrock. Darktrace varslet Anthropic, AWS og OpenAI 18. august og publiserte etter 30 dager. Pi fikk ikke varsel: prosjektet har ingen egen modell og kan derfor ikke validere historikken. Innlegget sier ingenting om at leverandørene har endret noe.

Bakgrunn

Teknikken er ikke ny. Bug bounty-teamet 0DIN analyserte 918 Claude Code-økter i januar og bygde verktøyet Fabricator, som finner nektelser i JSONL-øktfilene og skriver dem om til samarbeidsvillige svar med gyldige UUID-er og tidsstempler.

«Står det i loggen at tillatelse ble gitt, antar modellen at den ble gitt.» — 0DIN

Det nye hos Darktrace er at forfalskningen virker i fire verktøy med dagens modeller, og at den i to av dem ender i et komplett domeneovertak. Agenten gjør jobben med ditt abonnement og fra et program du selv har installert. Darktrace foreslår at leverandørene signerer hvert svar kryptografisk og verifiserer signaturen på serveren ved hver runde. Det kan ikke du slå på selv.

«Siden fiksen ligger hos leverandøren, kan forsvarere ikke rulle den ut selv.» — Darktrace

Darktrace selger selv atferdsovervåking av KI-agenter, og innlegget ender med reklame for produktet. Funnene står likevel på egne ben, og de stemmer med det 0DIN dokumenterte.

Hva bør du gjøre?

1. Behandle øktfilene som kjørbar konfigurasjon, ikke som logg. Claude Code lagrer transkriptene i klartekst under ~/.claude/projects/ i 30 dager som standard, og en endring der mens agenten ikke kjører er et varsel.
2. Se etter tegnene 0DIN peker på i forfalskede økter: meldings-ID-er som msg_corrected_01 i stedet for tilfeldige hasher, svar uten thinking-blokker og tokentall som lander på runde tall.
3. Kjør kodeagenten i en container eller VM uten rute til resten av nettverket, og installer nye MCP-servere der først. En kapret agent som ikke når domenekontrolleren din, kan ikke ta den over.