Auto Mode 該開到什麼程度？從 Claude Code Opus 5 被打穿的那條攻擊鏈講起

瀏覽次數: 3

本文大綱

Claude 自己要滅火，被自己的安全機制擋下

先講最刺的那一幕。

安全研究者 Johann Rehberger（部落格 Embrace The Red，署名 wunderwuzzi）在 2026 年 8 月 26 日公開了一整條打穿 Claude Code Opus 5 + Auto Mode 的攻擊鏈。整條鏈跑完，Claude 自己察覺這台機器被入侵了，主動想下指令把惡意 process 收掉——然後 Auto Mode 的分類器判定這個清理動作有風險，把它擋了下來。

Simon Willison 隔天（8/27）轉這篇時的註解只有一句：

In a few cases auto mode directly prevented the agent from preventing harmful code from continuing to execute!

放行了造馬的每一步，攔下了滅火的那一步。

這篇不是要你關掉 auto mode。auto mode 現在是 Pro / Max / Team 方案的內建起始模式，關掉它等於把生產力還回去一大半。這篇要回答的是更實際的問題：auto mode 該開到什麼程度，以及你必須在它下面墊哪幾層東西。

Auto Mode 到底替你做了什麼決定

先把定義釘死，因為很多人把三件不同的東西混著講。Claude Code 裡有三個獨立機制：

權限規則（permissions）：allow / ask / deny，在任何工具跑之前先比對。deny 是硬的，分類器和使用者意圖都翻不掉。
Auto Mode：把「問你」換成「問另一個模型」。官方文件寫得很直白：a second model, the classifier, reviews actions instead of you。它決定的是某個工具呼叫要不要執行。
Bash sandbox：作業系統層級的隔離（macOS 用 Seatbelt，Linux / WSL2 用 bubblewrap）。它管的是指令跑起來之後能碰到什麼，跟模型決定跑什麼無關。

官方 sandboxing 文件裡有一句話值得抄下來貼在牆上：

The operating system enforces the sandbox boundary on the running process, so it holds regardless of what the model chose to run and even if an allowed command does more than its name suggests.

分類器是「判斷」，sandbox 是「強制」。Rehberger 這條攻擊鏈打的，就是判斷層。

攻擊鏈：七步，每一步單看都合法

起手式非常無聊。使用者的原始指令就是一句「Summarize https://archive..uk/」。沒有奇怪的越獄字串，沒有 ignore previous instructions。接下來：

1. 把 WebFetch 逼成 curl。 伺服器對 WebFetch 回一個 HTTP 415，Claude 判斷這個工具不行，改用 Bash 的 curl 去抓。第一道邊界就這樣自己走掉了——WebFetch 有 domain 白名單機制，curl 沒有。

2. 303 導向到一包 ZIP。 伺服器回 HTTP 303，把請求導到 /deposits/WIC-notebook-catalogue.ZIP。

3. 解壓縮。 ZIP 裡有三樣東西：一批編碼過的資料檔、一支 macOS 的解碼 binary，還有一支 struct.py。

4. Claude 拒絕執行那支 binary。 這一步 Claude 做對了：來路不明的執行檔不跑。

5. Claude 決定自己寫一支解碼器。 它在解壓出來的那個目錄裡寫了一支 Python 腳本，然後在同一個目錄執行。這一步看起來是「更安全的做法」，卻是整條鏈的關鍵轉折。

6. Module shadowing 觸發。 Claude 的解碼器 import base64，而標準函式庫的 base64 內部會 import struct。Python 的 import 搜尋路徑會先看當前目錄——於是載進來的是攻擊者那支 struct.py，不是標準庫的。

7. 執行。 那支 struct.py 裡的混淆程式碼跑起來，用 python3 -I（isolated mode，避免自己再被 shadow 一次）開一個子行程，去拉遠端 payload、建立 C2 連線。

這裡要講清楚一件事，因為很多轉述寫錯了：Claude 沒有被騙去執行惡意程式碼。它從頭到尾執行的都是自己寫的、正常的程式碼，被劫持的是 Python 的 import 解析路徑。模型的每一個決策單獨看都合理，甚至第 4 步的「拒絕」還直接把它推向第 5 步的危險路徑。

Simon Willison 在 8/30 補了一則更新，引述社群的修正：這件事比較接近 confused environment attack，而不是典型的 prompt injection——因為惡意指令並不是被 LLM 讀進去照做的。順帶一提，這個說法出自社群討論，不是 Anthropic 的官方用語；我看到有中文轉述把它掛到 Anthropic 頭上，那是錯的。

數字：60~80%，但樣本很小

Rehberger 在文中列了三個變體的成功率（ASR，attack success rate）：

變體	效果	成功率
`python3 -I` + C2 鏈	遠端 stager、native payload、C2 回連、彈出計算機	3/5（60%）
`claude -p` 子行程（偵察）	`whoami`、`uname`、`id`、彈出計算機	3/5（60%）
`claude -p` 子行程（寫檔）	彈出計算機 + 寫入家目錄檔案	4/5（80%）

必須誠實標註前提：每組樣本只有 5 次。Rehberger 自己在文中寫這些數字 representative for a motivated attack, but not comprehensive。所以正確的讀法不是「80% 會中」，而是「一個有動機的攻擊者重試幾次就會成功」。對安全來說，這兩句話的結論是一樣的。

他也記了 Claude 有時候會自己躲過：靜態分析壓縮檔而不解壓、主動用 python3 -I 跑解碼器、把腳本移到乾淨目錄再執行。也就是說，成敗取決於模型當下的判斷——這正是為什麼它不能當邊界。

Anthropic 的回應：這本來就不是安全邊界

Rehberger 把報告送到 modelbugbounty@anthropic.com，Anthropic 以 Informative 結案。他轉述的回覆重點是：Auto Mode 是 a convenience feature backed by a best-effort classifier, not a security guarantee，而且 determined prompt injection chains combining benign-looking steps are not what the classifier is intended to stop——真正的邊界是 OS 隔離與網路出口控制。（這段只見於 Rehberger 的轉述，我沒找到 Anthropic 的公開原文。）

這個回應技術上完全正確，也跟官方文件一致。文件裡白紙黑字寫了分類器的兩個結構性限制：

邊界是從 transcript 讀出來的。 你在對話裡說「先別 push」，分類器會照做；但這不是規則，它每次都重讀 transcript，context compaction 把那句話壓掉，邊界就消失了。要硬保證只能用 deny rule。
窄的 allow rule 會繞過分類器。 Bash(npm test) 這種規則在 auto mode 下仍然有效，且在分類器之前就解析完。文件自己承認：a narrow rule can still let a destructive argument through without the classifier seeing it。

不過從 changelog 看，Anthropic 也不是沒動作：v2.1.257 起，分類器預設會擋掉「向 cloud instance-metadata endpoint 要 credential」「用機器自身的 service account 認證雲端或 registry 呼叫」「連或掃描 Claude 沒啟動的 sibling container / node」——這正是容器逃逸與橫向移動的常見前置動作。要注意這些是後來才加的預設，Rehberger 測的版本不見得涵蓋。

該疊哪三層：可照做的設定

以下是我從這篇整理出來的落地順序，從最便宜的開始。

第一層：deny rule 先把出網工具收掉

這是本次攻擊第一步的破口，也是最便宜的修法。官方 permissions 文件其實直接寫了這個建議：用 deny 擋掉 curl、wget，需要抓網頁就走 WebFetch 工具搭配 domain 白名單。

放在 ~/.claude/settings.json：

{
  "permissions": {
    "deny": [
      "Bash(curl *)",
      "Bash(wget *)",
      "Read(**/.env)",
      "Read(~/.ssh/**)",
      "Read(~/.aws/**)"
    ],
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ],
    "blockReadsOutsideWorkingDirectories": true
  }
}

三個重點：

deny 在分類器之前執行，分類器和使用者意圖都翻不掉它。
ask 規則在 auto mode 下一定會跳提示，而且 deny / ask 規則會穿透 subshell 與 command substitution——連 echo "$(git push)" 都會被抓到。
別寫 Bash(command:rm *) 這種形式，Claude Code 會忽略它並在啟動時警告；正確寫法是 Bash(rm *)。

第二層：把 sandbox 打開，這才是邊界

跑一次 /sandbox，或直接寫進 ~/.claude/settings.json：

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "network": {
      "strictAllowlist": true,
      "allowedDomains": ["*.github.com", "registry.npmjs.org", "pypi.org", "files.pythonhosted.org"]
    },
    "credentials": {
      "files": [
        { "path": "~/.ssh", "mode": "deny" },
        { "path": "~/.aws/credentials", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

幾個容易踩的點：

sandbox 預設「不」擋讀 credential。 文件明說預設是 read access to the entire computer，~/.aws/credentials、~/.ssh/ 照樣讀得到。必須自己加 sandbox.credentials 或 filesystem.denyRead。這是最多人漏掉的一格。
預設沒有任何 allowed domain。 第一次連新網域會跳提示，而在 auto mode 下這個提示會送去分類器。設 strictAllowlist: true 才會把白名單外的直接拒絕，不再問。
Linux / WSL2 需要 bubblewrap；failIfUnavailable: true 讓它在缺件時直接拒絕啟動，而不是安靜降級成沒沙箱。安靜降級是最糟的失敗模式。
allowUnsandboxedCommands: false 關掉 dangerouslyDisableSandbox 這個逃生門，不然指令在沙箱裡失敗時，Claude 會想繞出去重跑。

另外要分清楚：sandbox 的 auto-allow 模式跟 auto mode 是兩件事。前者是「因為沙箱框住了所以自動放行」，後者是「因為分類器覺得安全所以放行」。前者可以在 Manual mode 下單獨開，這其實是很多人真正要的組合——少一堆提示，但完全不靠分類器判斷：

claude --permission-mode default
# 進去後跑 /sandbox，Mode 選 auto-allow

第三層：把分類器的視野補齊

分類器預設只信任你的工作目錄，以及 session 啟動時就設好的 git remote，其他一律當外部。三個值得設的東西：

{
  "autoMode": {
    "classifyAllShell": true,
    "environment": [
      "$defaults",
      "Host containment: Claude Code 跑在專用容器，egress 只開 github.com 與內部 registry，雲端 metadata endpoint 不可達",
      "Internal package registry: Artifactory at artifacts.example.com"
    ],
    "hard_deny": [
      "$defaults",
      "Never run a script from a directory created by extracting a downloaded archive; copy it to a clean directory and run it with python3 -I"
    ]
  }
}

classifyAllShell: true 把「窄 allow rule 繞過分類器」這個洞補起來，代價是每個 shell 指令都多一次分類器往返。
autoMode 的規則是自然語言，不是 regex。寫得像在跟新同事解釋你的基礎設施就對了。
$defaults 千萬別漏。 沒有它，你等於把整段內建規則清空——soft_deny 的內建規則包含 force push、curl | bash、production deploy、auto-mode bypass。漏掉一個字串，這些全沒了。
一個關鍵限制：分類器不讀 .claude/settings.json 和 .claude/settings.local.json 裡的 autoMode。因為那兩個檔案在 repo 目錄裡，一個被 checkout 的惡意 repo 就能塞自己的 allow rule 進去。所以 autoMode 只能放 ~/.claude/settings.json 或 managed settings。
分類器會讀 CLAUDE.md。所以在 CLAUDE.md 裡寫「never force push」等於同時管到模型和分類器，這是最便宜的一招。

設完跑一次確認：

claude auto-mode config     # 看展開 $defaults 之後的實際規則
claude auto-mode critique   # 讓模型挑出自訂規則裡模糊或會誤擋的條目
claude auto-mode defaults   # 印出內建規則全文，想接管清單前先看這個

什麼時候該開，什麼時候別開

判斷線很簡單：這個 session 的 context 裡會不會進來外部內容？

可以放心開 auto mode：

純本地重構、寫測試、跑 build，輸入只有你和你的 repo
已經在容器 / VM 裡，且 egress 是白名單
有 deny + ask 規則把 push / deploy / 出網卡住

開之前先想三秒：

Claude 要去讀 GitHub issue、PR 描述、網頁、第三方文件（外部內容進 context）
要處理下載下來的 archive、資料集、別人給的 repo
這台機器上有 ~/.ssh、雲端 credential、production kubeconfig

別開，或至少別在這台機器上開：

無人值守的 -p 批次跑。文件明說：非互動 session 沒有提示可退回，分類器反覆擋下時動作不會執行，但 Claude 會繼續跑下去；而且非互動模式下的 deny 會被快取整個 run。
任何跑在有 production 存取權的機器上的 agent

有一個反直覺的結論值得記：有外部輸入的時候，「全自動比較快」是最貴的選項。

手動招式：在 prompt 層面降風險

設定之外，有幾條可以直接貼進 CLAUDE.md 的規則，都是從這條攻擊鏈反推出來的：

## 處理外部下載內容
- 一律先靜態檢查壓縮檔內容（unzip -l），不要解壓後直接執行
- 解壓出來的目錄視為 untrusted：不在該目錄執行任何腳本
- 需要跑腳本時，複製到乾淨的空目錄，並用 python3 -I 執行
- WebFetch 失敗時不要改用 curl / wget 繞過，直接回報給我

最後一條特別重要，因為那就是第 1 步。工具降級（tool downgrade）是這類攻擊的通用起手式：擋掉有防護的高層工具，逼 agent 掉到沒有防護的低層工具。你自己在 debug 的時候大概也做過同一件事。

另外注意：口頭在對話裡宣告的邊界（「先別 push」）分類器會遵守，但 compaction 之後會消失。長 session 要靠規則，不要靠記憶。

對工程團隊的意義

如果你要在團隊裡推 coding agent，這篇給的行動項只有三條：

把 agent 從開發機搬走。 容器或 VM，~/.ssh、~/.aws、kubeconfig 不掛進去。這一條的效益大過其他所有設定加起來。
用 managed settings 鎖 permissions.deny 和 sandbox。 這兩個是唯一使用者翻不掉的層。autoMode.allow 是加法式的，個人可以擴充——文件自己講了：the combination is additive, not a hard policy boundary，所以它不是政策邊界。
建立「auto mode 擋了什麼」的可觀測性。 /permissions 的 Recently denied 分頁只給你 Claude 自己寫的描述，拿不到原始指令。要拿到完整 tool_input，得掛 PermissionDenied hook。