איך מאגר של מישהו אחר יכול לחטוף את Claude Code: ‏7 כללי הגנה

תיעוד Ailoot: API, מפתחות והגדרה.

ארבעה מסלולים מתועדים מטקסט לא מהימן לפעולות סוכן#

הדוגמאות נוגעות לתקופות מחקר ולהגדרות לקוח שונות, ולא לארבע תגליות בשבועיים. הן מדגימות איך חומר לא מהימן יכול להשפיע על שימוש הסוכן בכלים; פגמי מימוש, פרטי גישה זמינים והרשאות הרצה קובעים את התוצאה.

באופן רשמי קוראים לזה הזרקת הנחיה עקיפה: הוראה זדונית לא מגיעה ישירות מכם, אלא דרך נתונים שהסוכן מעבד במהלך ביצוע משימה—README ממקור זר, הודעת שגיאה, תגובה ב-GitHub או תשובה משירות חיצוני. אפשר לשכוח את המונח מיד אחרי הפסקה הזאת; מכאן והלאה אסביר במילים פשוטות.

ארבע דוגמאות מחקר שנידונות בהמשך:

1. מאגר שנראה תמים יכול להפוך למעטפת הפוכה.
2. כותרת של Pull Request יכולה לחטוף שלושה סוכני AI שונים בבת אחת.
3. סוכן יכול לקבל דוח שגיאה מזויף מ-Sentry במקום דוח אמיתי.
4. תיאור כלי MCP יכול לשאת הוראות שמשפיעות על הסוכן; עוצמת ההשפעה תלויה במודל ובהגדרות.

איך README של מאגר שנראה תמים הופך למעטפת הפוכה?#

אופן הפעולה תוכנן כך שאף שכבה בפני עצמה לא תיראה חשודה:

1. אתם משכפלים מאגר שנראה רגיל ומבקשים מ-Claude Code להריץ אותו.
2. המאגר מתקין חבילת Python שתוכננה להיכשל בשימוש הראשון.
3. הודעת השגיאה מציעה בנימוס פקודת “תיקון”: python3 -m axiom init.
4. הפקודה init מריצה את setup.sh.
5. הסקריפט שולף רשומת DNS מסוג TXT (שמשמשת בדרך כלל להערות הקשורות לדומיין, אך השדה מקבל כל טקסט). התוקף מכניס לשם פקודה מקודדת ב-base64 (דרך להמיר נתונים לטקסט רגיל ללא רווחים או תווים מיוחדים) ומעביר אותה ישירות ל-bash.
6. אפשר לשנות את ערך רשומת ה-DNS בכל עת—וכך לתת לתוקף מעטפת הפוכה אינטראקטיבית עם הרשאות המשתמש שלכם וגישה לכל הסודות במחשב.

המטען שהודגם נשלף בזמן ריצה מ-DNS, ולכן סריקת בתים של המאגר בלבד לא חשפה את המטען הסופי. הדבר אינו מוכיח שכל סורק או בקרת ריצה חסרי אונים: בדיקת התוכן שנשלף, ניטור תהליכים והגבלות רשת יכולים לחשוף או לקטוע את השרשרת. המקור הוא הוכחת היתכנות, ולא מדידת שכיחות של אירועים בעולם האמיתי.

איך כותרת של Pull Request חטפה שלושה סוכני AI שונים?#

המחקר מתאר את המסלולים והתגובות האלה; זהו דוח היסטורי, ולא אימות של כל גרסת מוצר נוכחית:

כמעט חמישה חודשים חלפו בין הדיווחים הראשון והאחרון במחזור החשיפה הזה (הדיווח הראשון על Claude Code היה ב-17 באוקטובר 2025; תיקון הבאג האחרון ב-GitHub Copilot היה ב-9 במרץ 2026). שינוי החומרה וההפחתות בדוח אינם מוכיחים סגירה מלאה של כל מטען אפשרי. מאגר ה-PoC של המחקר מתעד את מסלול Claude שהודגם; אל תריצו את מטען המתקפה מול מערכות אמיתיות. הערך עבורכם הוא בדפוס המתקפה עצמו: נתונים לא מאומתים מ-GitHub מגיעים לסוכן, הסוכן מריץ פקודות וסודות דולפים דרך אותו GitHub—התוקף אינו זקוק לשרת חיצוני.

די בשני ניתוחים כדי לזהות את הדפוס: אי אפשר לפתור כל ממצא חדש בנפרד; פגיעויות מהסוג הזה מתגלות מדי שבועיים. כתיבה מפורשת של כללי אבטחה ב-CLAUDE.md וב-settings.json במקום להסתמך על הזיכרון היא חלק מהנדסת הקשר: מגדירים אותם פעם אחת, והם פועלים אוטומטית בכל סשן חדש של Claude Code, בלי תזכורות. שלושה עמודי תווך פועלים יחד: שכפול AI + מוח שני + הנדסת הקשר—השילוב הזה הופך את Claude Code ממבצע שסומך על הכול לסוכן עם כללים מפורשים.

האם דוח שגיאה מזויף של Sentry יכול להשתלט על הסוכן שלכם?#

תוקף שולח אירוע שגיאה מזויף ל-Sentry; הסוכן מבקש רשימת issues דרך MCP, מקבל בין האירועים הלגיטימיים גם את האירוע הזדוני ומריץ את הפקודה שהוטמעה בו כ“שלב תיקון”. דוח Agentjacking של Tenet, שעודכן ב-17 ביוני 2026, מדווח על ניצול ב-85% במצטבר בגלי האימות המבוקרים שלו וביותר מ-100 הרצות סוכנים, כולל Claude Code, ‏Cursor ו-Codex. הוא מציין תיעוד Claude Code 2-1-161 מ-2 ביוני, אך אינו מפרסם רשימה מלאה לכל מודל, מעטפת ניתנת לשחזור, מכנה ניסויים מדויק או פירוט לכל לקוח. התייחסו ל-85% כתצפית המצטברת של החוקרים, ולא כהסתברות לפגיעה בכל התקנה נוכחית.

המתקפה דורשת רק מפתח DSN של Sentry—מזהה ציבורי שפרויקטים רבים כוללים ישירות בקוד צד הלקוח:

אופן הפעולה פשוט: מפתח מבקש מהסוכן לבדוק שגיאות פתוחות ב-Sentry; הסוכן מבקש אותן דרך שרת MCP, מקבל אירוע זדוני המעורבב באירועים אמיתיים וקורא את הפקודה שהוטמעה בו כהוראה מהימנה לתיקון השגיאה—כי מבחינה רשמית, זו בדיוק המשימה שהתבקש לבצע.

Tenet מדווחת שבקרות קיימות לא התריעו בסביבות שבדקה. אין בכך הוכחה להרצה ללא עקבות בכל פריסה: יומני סוכן וכלים, טלמטריה בתחנות קצה ורשומות רשת יכולים לתעד פעולות בהמשך. המתקפה מתחילה דרך נתוני ניטור שהוגשו מבחוץ ואז תלויה בכלים ובהרשאות האפקטיביים של הסוכן.

למה תיאור של כלי MCP מסוכן כמו הנחיית מערכת?#

הניסוח של Microsoft הוא המדויק ביותר שמצאתי בנושא הזה:

טכניקה זו נקראת הרעלת כלים: הוראה שמוסתרת בתיאור של כלי תמים גורמת לסוכן לפעול לפיה.

Claude 3.7 Sonnet הציג את העמידות הטובה ביותר בבדיקה הזאת, אבל אפילו הוא סירב לציית להוראה מורעלת בפחות מ-3% מהמקרים—העמידות גם במודל הטוב ביותר תלויה יותר במזל מאשר בהגנה. הממצא המנוגד לאינטואיציה ב-MCPTox הוא שמודלים בעלי יכולת גבוהה יותר יכולים להיות רגישים יותר להרעלת כלים בתצורות שנבדקו. זה ממצא מוגבל לאותו מדד, ולא חוק שקובע שהיענות מדויקת להוראות תמיד מחמירה הבחנה במתקפה.

מה משותף למתקפות האלה—ומה הזיהוי עלול להחמיץ?#

המסקנה חלה על כל ארבעת הממצאים: אי אפשר להסתמך על כך ש“הקוד נראה רגיל”—כל שלב בנפרד במתקפה אכן תמים. הגבילו את היכולות האפקטיביות של הסוכן ובדקו את הפעולות שהוא מציע; זיהוי והכלה מטפלים בחלקים שונים של המתקפה.

אילו הגנות כבר קיימות ב-Claude Code—ולמה הן לא מספיקות?#

Anthropic מכירה בבעיה ישירות בתיעוד שלה, במקום להסתיר אותה:

לפי התיעוד, הסוכן מנתח את ההנחיה כולה כדי לזהות הוראות חשודות, אינו מאשר אוטומטית את curl ואת wget, שומר את תוכן האינטרנט בחלון הקשר נפרד כדי שלא יתערבב עם החלון הראשי, ודורש אישור אמון בפעם הראשונה שמפעילים אותו בבסיס קוד חדש או מחברים שרת MCP חדש.

אבל יש הסתייגות מוחלטת ש-Anthropic מציינת במפורש:

אם אי פעם הפעלתם את Claude Code עם --dangerously-skip-permissions מתוך תסכול, כדי ש“יפסיק להציק לכם בשאלות”, באותו רגע השבתתם את כל המנגנונים שיכלו לעצור בדיוק את ארבע המתקפות שנדונו למעלה. אני מקפיד להשאיר את הדגל הזה כבוי, גם כש-Claude Code שואל שוב בפעם העשירית באותו סשן—זה מעצבן, אבל השאלות האלה הן הגבול בין “הסוכן קרא טקסט חשוד” לבין “הסוכן ביצע אותו”. הגדרה סבירה למי שאינם מתכנתים היא מצב ההרשאות הרגיל (default או acceptEdits) יחד עם ארגז החול מופעל: עריכות רגילות של קבצים מתבצעות בלי שאלות נוספות, בעוד שפקודות מסוף אינן יכולות לצאת מארגז החול מבחינה פיזית, גם אם רימו את הסוכן.

איך מפעילים מצב ארגז חול וסוגרים את הפער שהוא משאיר כברירת מחדל?#

כדי להפעיל את האפשרות לצמיתות עבור כל הפרויקטים, בצעו שינוי אחד ב-~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

כברירת מחדל, פקודות המופעלות בארגז החול יכולות לכתוב רק לתיקיית העבודה של הפרויקט ולתיקייה הזמנית של הסשן. הגישה לרשת עוברת דרך פרוקסי—אין דומיינים שמורשים מראש, ו-Claude Code יבקש אישור בפעם הראשונה שיתחבר לדומיין חדש. לפי Anthropic, הדבר מצמצם במידה ניכרת את בקשות ההרשאה—ב-84% לפי המדידות הפנימיות של החברה—משום שארגז החול מטפל בעצמו בחלק מהמקרים הבטוחים במקום לשאול אתכם בכל פעם.

הפער שההגדרות הרגילות משאירות פתוח: כברירת מחדל ארגז החול מגביל כתיבה, אך אינו מונע קריאה של קבצים כגון ~/.aws/credentials ו-~/.ssh. אלה בדיוק הקבצים ומשתני הסביבה שאליהם מכוונות המתקפות לעיל. סגרו את הפער באמצעות בלוק נפרד באותו קובץ:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

הנקודה היא שגם אם המעטפת ההפוכה מהניתוח הראשון נפתחת בתוך ארגז החול, המשתנים והקבצים האלה מוסרים פיזית מסביבת התהליך לפני שהוא מתחיל—לא נשאר מה לגנוב.

אילו כללי permissions.deny כדאי להוסיף כבר היום?#

סט מינימלי למי שאינם מתכנתים, שמכסה בבת אחת את היעדים העיקריים של כל ארבע המתקפות:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

לפי תיעוד Claude Code, כללי deny תמיד קודמים לכללי allow. לכן גם אם אתם (או הסוכן עצמו) מאשרים בטעות גישה רחבה יותר במקום אחר, כלל deny ספציפי עדיין נכנס לתוקף ראשון. קדימות הכללים חלה על בקשות כלי תואמות. היא אינה מוכיחה שסוד אינו נגיש דרך כל תת-תהליך או כלי; השתמשו גם בהגבלות מערכת קבצים וסביבה נאכפות.

ל-Claude Code יש גם מצב auto, שבו מודל מסווג נפרד בודק פעולות לפני ביצוען—זה אינו אותו מודל שמדבר אתכם. כברירת מחדל הוא חוסם, בין היתר, בדיוק את הדפוס “הורדת קוד והפעלתו מיד” (curl | bash). Anthropic מזהירה במפורש שזהו מצב מחקר שמפחית את מספר ההנחיות, אך אינו מבטיח בטיחות בפני עצמו—התייחסו אליו כשכבת הגנה נוספת, לא כתחליף לארגז החול ול-permissions.deny.

איך לבדוק מאגר ושרת MCP לפני שנותנים לסוכן לסמוך עליהם?#

לגבי מאגרים, הנה רשימת בדיקה קצרה לפני שמוסרים אותם לסוכן:

1. אל תעברו ישר להתקנה מקישור באימייל, בפוסט או בביקורת ממקור שאינכם מכירים.
2. אם במהלך ההתקנה מופיעה שגיאה עם הוראה “להריץ את הפקודה X כדי לתקן אותה”, קראו מה X עושה בפועל לפני שתאפשרו ל-Claude Code להריץ אותה. ההוראה בניתוח לעיל נראתה שגרתית לחלוטין—וזו הייתה כל המטרה.
3. בדקו את גיל המאגר ואת היסטוריית ה-commit, לא רק את מספר הכוכבים—קל לתת למאגרים חדשים כוכבים מזויפים במיוחד עבור סוג המתקפה הזה.
4. אם המאגר אינו מוכר, הריצו את ההתקנה במכונה וירטואלית, ולא במחשב העבודה שלכם עם מפתחות אמיתיים. זו ההמלצה הישירה של Anthropic עצמה לעבודה עם שירותים חיצוניים.

העמדה של Anthropic בנוגע לשרתי MCP מנוסחת בגלוי:

פירוש הדבר הוא שאתם אחראים לבדוק שרתי MCP מצד שלישי, ולא הפלטפורמה שבה התקנתם אותם. כמה צוותים—בעיקר חברות סטארט-אפ בתחום האבטחה—כבר בונים כלים לכך: סורקי תצורת MCP שמחפשים תיאורים מורעלים, ו“הצמדה” של כלים, ששומרת את הגיבוב של התיאור בהתקנה הראשונה ומתריעה על כל שינוי בהמשך. הטכנולוגיות האלה עדיין צעירות, ולכן מוקדם מדי להסתמך עליהן כהגנה היחידה שלכם—אבל כדאי לעקוב אחריהן, במיוחד אם אתם מחברים שרתי MCP לסביבת ייצור. בחיבורים האלה אפשר להצמיד כל גרסת חבילה ולתעד ביומן ביקורת את טביעת האצבע של תיאורי הכלים.

7 כללי הגנה: רשימת הבדיקה להיום#

1. הפעילו את מצב ארגז החול (/sandbox או "sandbox": {"enabled": true} ב-~/.claude/settings.json) והוסיפו בלוק credentials שמונע קריאת ~/.ssh ו-~/.aws/credentials.
2. הוסיפו כללי permissions.deny לקריאת קובצי סוד ולפקודות bash מסוכנות (curl, wget, sudo)—כלל deny תמיד גובר על כלל allow.
3. לעולם אל תפעילו --dangerously-skip-permissions על קוד ממקור זר או לא מאומת—הוא משבית את כל ההגנות בבת אחת, כולל אלה שיכלו לעצור בדיוק את המתקפות האלה.
4. אל תאפשרו ל-Claude Code להריץ אוטומטית פקודת “תיקון” מתוך הודעת שגיאה—קודם קראו מה היא עושה בפועל.
5. התקינו שרתי MCP רק ממקורות שאתם סומכים עליהם, וזכרו ש-Anthropic אינה בודקת את אבטחתם עבורכם.
6. הפרידו סשנים לפי הרשאות: אחד עובד עם הנתונים האישיים שלכם ואינו רואה נתונים חיצוניים; שני בוחן אימיילים, מאגרים וכרטיסי תמיכה של אחרים, אך אין לו גישה לסודות; שלישי מפרסם החוצה—ורק את מה שאישרתם אישית. בפרויקטים שלי אני מקפיד על ההפרדה הזאת: סשן עם גישה למפתחות תשלום לעולם אינו קורא כרטיסי תמיכה או מאגרים חיצוניים שרירותיים, וסשן שמנתח קוד של אחרים אינו רואה סודות כלל. אל תערבבו את התפקידים האלה בצ'אט אחד.
7. השאירו את Claude Code ואת סקריפטי האוטומציה המחוברים מעודכנים—רוב הפערים שנדונו כאן כבר נסגרו באמצעות תיקונים עד למועד פרסום המדריך, ופערים חדשים מתוקנים בדרכים דומות.

מה הלאה#

אף אחת מהשכבות האלה אינה ערובה—Anthropic עצמה אומרת בכנות ששום הגנה אינה מספקת חסינות מלאה. איני מצפה מ-Claude Code לזהות בעצמו תחבולה בהודעת שגיאה או בתגובה ל-issue. מבחינתי, ארגז החול ו-permissions.deny הם חלק מהאופן שבו אני מנהל את הקשר הפרויקט: מה הסוכן רואה, על מה הוא סומך כברירת מחדל ומה קורה כשהוא טועה.

אם אתם צריכים גישה לרשתות עצביות דרך Ailoot, בקרו ב-Ailoot.