Jak může cizí repozitář převzít kontrolu nad Claude Code: 7 pravidel ochrany

Dokumentace Ailoot: API, klíče a nastavení.

Jakými způsoby může cizí repozitář převzít kontrolu nad AI agentem?#

Formálně se tomu říká nepřímá injekce promptu: škodlivý pokyn nepřichází přímo od vás, ale prostřednictvím dat, která agent zpracovává při plnění úkolu — cizího souboru README, chybové zprávy, komentáře na GitHubu nebo odpovědi externí služby. Termín můžete hned po tomto odstavci zapomenout; dál budu používat běžné výrazy.

Čtyři níže probírané příklady z výzkumu:

1. Zdánlivě neškodný repozitář se může proměnit v reverzní shell.
2. Název Pull Requestu může přimět tři různé AI agenty k nežádoucím akcím.
3. Agent může přijmout falešné chybové hlášení ze Sentry místo skutečného.
4. Popis nástroje MCP může obsahovat pokyn ovlivňující agenta; automaticky tím nezískává autoritu systémového promptu.

Jak může README cizího repozitáře ohrozit Claude Code?#

Mechanismus je navržen tak, aby žádná jednotlivá vrstva nevypadala podezřele:

1. Naklonujete obyčejně vypadající repozitář a požádáte Claude Code, aby ho spustil.
2. Repozitář stáhne balíček Pythonu, který je navržen tak, aby při prvním použití selhal.
3. Chybová zpráva zdvořile navrhne příkaz „opravy“: python3 -m axiom init.
4. Příkaz init spustí setup.sh.
5. Skript se dotáže na DNS TXT záznam (obvykle se používá pro poznámky související s doménou, ale pole přijímá libovolný text). Útočník do něj vloží příkaz zakódovaný v base64 (způsob, jak převést libovolná data na prostý text bez mezer či speciálních znaků) a předá ho přímo bash.
6. Hodnotu DNS záznamu lze kdykoli změnit — útočník tak získá interaktivní reverzní shell s oprávněními vašeho uživatele a přístupem ke všem tajným údajům v počítači.

Předvedený škodlivý obsah se stahoval za běhu z DNS, takže kontrola samotných bajtů repozitáře konečný obsah neodhalila. Nedokazuje to bezmocnost všech skenerů nebo kontrol běhu: prohlídka staženého obsahu, sledování procesů a síťová omezení mohou řetězec odhalit či přerušit. Zdroj je důkaz konceptu, nikoli měření četnosti skutečných incidentů.

Jak název Pull Requestu unesl tři různé AI agenty?#

Výzkumná zpráva popisuje tyto cesty a reakce; jde o historickou zprávu, nikoli ověření všech aktuálních verzí produktů:

Mezi první a poslední zprávou v tomto cyklu odhalení uplynulo téměř pět měsíců (první zpráva o Claude Code přišla 17. října 2025; poslední oprava chyby GitHub Copilot 9. března 2026). Změna závažnosti a zmírnění popsaná ve zprávě nedokazují úplné uzavření všech možných škodlivých vstupů. Repozitář výzkumného PoC dokumentuje předvedenou cestu Claude; jeho útočný obsah nespouštějte proti skutečným systémům. Pro vás je důležitý samotný vzorec útoku: neověřená data z GitHubu vstoupí do agenta, agent spustí příkazy a tajné údaje uniknou přes tentýž GitHub — útočník nepotřebuje externí server.

K pochopení vzorce stačí dvě analýzy: není možné zvlášť opravovat každé nové zjištění; zranitelnosti tohoto druhu se objevují každé dva týdny. Výslovné zapsání bezpečnostních pravidel do CLAUDE.md a settings.json namísto spoléhání na vlastní paměť patří k práci s kontextem: nastavíte je jednou a automaticky fungují při každém novém spuštění Claude Code, bez připomínání. Společně fungují tři pilíře: klon AI + Druhý mozek + Kontextové inženýrství — tato kombinace mění Claude Code z vykonavatele, který všemu důvěřuje, na agenta s výslovnými pravidly.

Může falešné chybové hlášení Sentry převzít kontrolu nad vaším agentem?#

K útoku stačí klíč DSN služby Sentry — veřejný identifikátor, který mnoho projektů vkládá přímo do kódu na straně klienta:

Mechanismus je jednoduchý: vývojář požádá agenta, aby prozkoumal otevřené chyby v Sentry; agent si je vyžádá přes server MCP, mezi skutečnými obdrží škodlivou událost a příkaz v ní přečte jako důvěryhodný pokyn k opravě chyby — protože formálně přesně o to byl požádán.

Tenet uvádí, že existující kontroly v testovaných prostředích nevarovaly. Nedokazuje to bezestopé vykonávání ve všech nasazeních: logy agenta a nástrojů, telemetrie zařízení i síťové záznamy mohou následné akce zachytit. Útok začíná externě zaslanou telemetrií a pak závisí na skutečných nástrojích a oprávněních agenta.

Proč je popis nástroje MCP stejně nebezpečný jako systémový prompt?#

Formulace Microsoftu je v tomto tématu nejpřesnější, jakou jsem našel:

Tato technika se nazývá otrava nástrojů: pokyn skrytý v popisu neškodného nástroje přiměje agenta podle něj jednat.

Výsledky MCPTox závisejí na konkrétních modelech a nastavení benchmarku. Nelze z nich vyvozovat obecný zákon, že lepší následování pokynů vždy zhoršuje odolnost, ani míru rizika každé současné instalace.

Co mají tyto útoky společného — a co může detekci uniknout?#

Závěr se vztahuje na všechna čtyři zjištění: nelze spoléhat na to, že „kód vypadá normálně“ — každý jednotlivý krok útoku je opravdu neškodný. Omezte skutečné schopnosti agenta a kontrolujte navrhované akce; detekce a omezení dopadu řeší různé části útoku.

Jakou ochranu už Claude Code má — a proč nestačí?#

Anthropic problém ve své dokumentaci otevřeně uznává a neskrývá ho:

Podle dokumentace agent analyzuje celý prompt a hledá podezřelé pokyny, automaticky neschvaluje curl a wget, uchovává webový obsah v odděleném kontextovém okně, aby se nesmíchal s hlavním, a při prvním spuštění v nové kódové základně nebo připojení nového serveru MCP vyžaduje potvrzení důvěry.

Anthropic však uvádí i zásadní výhradu zcela přímo:

Pokud jste někdy ze vzteku spustili Claude Code s příznakem --dangerously-skip-permissions, aby vás „přestal otravovat otázkami“, vypnuli jste tím všechny mechanismy, které mohly zastavit právě čtyři výše popsané útoky. Tento příznak záměrně nechávám vypnutý, i když se Claude Code během jednoho spuštění ptá už podesáté — je to otravné, ale tyto otázky tvoří hranici mezi „agent přečetl podezřelý text“ a „agent ho spustil“. Rozumným nastavením pro neprogramátora je standardní režim oprávnění (default nebo acceptEdits) se zapnutým sandboxem: běžné úpravy souborů probíhají bez dalších dotazů a terminálové příkazy nemohou fyzicky opustit sandbox, ani když byl agent oklamán.

Jak zapnout režim sandboxu a uzavřít mezeru, kterou ve výchozím nastavení ponechává?#

Chcete-li jej trvale zapnout pro všechny projekty, proveďte jednu změnu v souboru ~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

Ve výchozím nastavení mohou příkazy v sandboxu zapisovat pouze do pracovního adresáře projektu a do dočasného adresáře relace. Síťový přístup probíhá přes proxy — předem nejsou povoleny žádné domény a Claude Code si při prvním připojení k nové doméně vyžádá potvrzení. Anthropic uvádí, že to výrazně snižuje počet dotazů na oprávnění — o 84 % podle interních měření společnosti — protože sandbox některé bezpečné případy obslouží sám, místo aby se pokaždé ptal.

Mezera, kterou ponechává standardní nastavení: sandbox ve výchozím nastavení omezuje zápis, ale nebrání čtení souborů, jako jsou ~/.aws/credentials a ~/.ssh. Právě tyto soubory a proměnné prostředí byly cílem výše popsaných analýz. Uzavřete tuto mezeru samostatným blokem v témže souboru:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Jde o to, že i když se reverzní shell z první analýzy spustí uvnitř sandboxu, tyto proměnné a soubory jsou z prostředí procesu fyzicky odstraněny ještě před jeho spuštěním — není co ukrást.

Která pravidla permissions.deny byste měli přidat už dnes?#

Minimální sada pro neprogramátora, která najednou pokrývá hlavní cíle všech čtyř útoků:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Podle dokumentace Claude Code mají pravidla deny vždy přednost před pravidly allow. I když tedy vy (nebo samotný agent) omylem povolíte širší přístup jinde, konkrétní zákaz se uplatní jako první. Tato priorita pravidel platí pro odpovídající požadavky nástrojů. Nedokazuje nedostupnost tajného údaje přes každý podproces či nástroj; použijte i vynucená omezení souborového systému a prostředí.

Claude Code má také režim auto, v němž akce před spuštěním kontroluje samostatný klasifikační model — není to tentýž model, který s vámi komunikuje. Ve výchozím nastavení mimo jiné blokuje přesně vzorec „stáhni kód a hned ho spusť“ (curl | bash). Anthropic výslovně varuje, že jde o výzkumný režim, který snižuje počet dotazů, ale sám o sobě nezaručuje bezpečnost — považujte ho za další vrstvu, ne za náhradu sandboxu a permissions.deny.

Jak prověřit repozitář a server MCP, než jim svěříte svého agenta?#

Před předáním repozitáře agentovi použijte tento krátký kontrolní seznam:

1. Nezačínejte rovnou s instalací z odkazu v e-mailu, příspěvku nebo recenzi od neznámého zdroje.
2. Pokud instalace skončí chybou s pokynem „spusťte příkaz X a opravte to“, před povolením spuštění Claude Code si přečtěte, co příkaz X skutečně dělá. Pokyn ve výše popsané analýze vypadal zcela běžně — o to šlo.
3. Zkontrolujte stáří repozitáře a historii commitů, nejen počet hvězdiček — nově vytvořeným repozitářům lze snadno přidělit falešné hvězdičky právě kvůli tomuto typu útoku.
4. Pokud repozitář neznáte, spusťte instalaci ve virtuálním počítači, ne na pracovním počítači se skutečnými klíči. Jde o přímé doporučení samotného Anthropicu pro práci s externími službami.

Postoj Anthropicu k serverům MCP je otevřeně formulován takto:

To znamená, že za kontrolu serverů MCP třetích stran odpovídáte vy, nikoli platforma, na které jste je nainstalovali. Některé týmy — většinou bezpečnostní startupy — už pro tento účel vytvářejí nástroje: skenery konfigurací MCP, které hledají podvržené popisy, a „připínání“ nástrojů, které při první instalaci uloží hash popisu a upozorní na každou pozdější změnu. Tyto technologie jsou nové, takže je zatím příliš brzy spoléhat na ně jako na jedinou ochranu — stojí však za pozornost, zvlášť pokud připojujete servery MCP do produkčního prostředí. U takových připojení můžete připnout verzi každého balíčku a zaznamenat otisk popisů nástrojů do protokolu auditu.

7 pravidel ochrany: dnešní kontrolní seznam#

1. Zapněte režim sandboxu (/sandbox nebo "sandbox": {"enabled": true} v ~/.claude/settings.json) a přidejte blok credentials, který zabrání čtení ~/.ssh a ~/.aws/credentials.
2. Přidejte pravidla permissions.deny pro čtení souborů s tajnými údaji a nebezpečné příkazy bash (curl, wget, sudo) — zákaz má vždy přednost před povolením.
3. Nikdy nespouštějte --dangerously-skip-permissions nad cizím nebo neověřeným kódem — vypne všechny ochrany najednou, včetně těch, které mohly zastavit právě tyto útoky.
4. Nedovolte Claude Code automaticky spustit příkaz „opravy“ z chybové zprávy — nejprve si přečtěte, co skutečně dělá.
5. Instalujte servery MCP pouze z důvěryhodných zdrojů a pamatujte, že Anthropic jejich bezpečnost nekontroluje za vás.
6. Rozdělte relace podle oprávnění: jedna pracuje s vašimi osobními údaji a nevidí externí data; druhá zkoumá e-maily, repozitáře a tikety jiných lidí, ale nemá přístup k tajným údajům; třetí publikuje navenek — a jen to, co jste osobně schválili. Ve vlastních projektech toto pravidlo důsledně dodržuji: relace s přístupem k platebním klíčům nikdy nečte libovolné externí tikety ani repozitáře a relace, která analyzuje cizí kód, tajné údaje vůbec nevidí. Tyto role nemíchejte v jednom chatu.
7. Udržujte Claude Code a připojené automatizační skripty aktualizované — většina zde probíraných mezer už byla v době vydání tohoto průvodce opravena a nové se řeší podobnými způsoby.

Co dál#

Žádná z těchto vrstev není zárukou — sám Anthropic upřímně uvádí, že žádná ochrana neposkytuje úplnou imunitu. Neočekávám, že Claude Code sám rozpozná trik v chybové zprávě nebo komentáři k issue. Sandbox a permissions.deny jsou pro mě součástí správy kontextu projektu: co agent vidí, čemu ve výchozím nastavení důvěřuje a co se stane, když udělá chybu.

Pokud potřebujete přístup k neuronovým sítím prostřednictvím Ailoot, podívejte se na Ailoot.