Бөтен репозиторий Claude Code басқаруын қалай бұра алады: қорғанудың 7 ережесі

Ailoot құжаттамасы: API, кілттер және баптау.

Сенімсіз мәтіннен агент әрекетіне өтетін төрт құжатталған жол#

Ресми атауы — жанама prompt injection: зиянды нұсқау тікелей сізден келмейді, агент тапсырманы орындау барысында өңдейтін дерек арқылы беріледі — бөтен README, қате туралы хабарлама, GitHub пікіріне жазылған мәтін немесе сыртқы қызметтің жауабы. Осы абзацтан кейін бұл терминді ұмыта беріңіз; бұдан әрі қарапайым тілмен түсіндіремін.

Төменде талқыланатын төрт зерттеу мысалы:

1. Зиянсыз көрінетін репозиторийдің кері shell-ге айналуы мүмкін екені көрсетілді.
2. Pull Request тақырыбы бір мезетте үш түрлі AI агентін басып алуы мүмкін екені көрсетілді.
3. Агент шынайы есептің орнына Sentry-ден жалған қате туралы есепті қабылдауы мүмкін екені көрсетілді.
4. MCP құралының сипаттамасы агентті жүйелік сұрау сияқты тиімді басқара алатыны көрсетілді.

Зиянсыз репозиторийдің README файлы кері shell-ге қалай айналады?#

Бұл тәсілдің әр қабаты жеке-жеке күдік тудырмайтындай құрылған:

1. Сіз әдеттегі көрінетін репозиторийді клондап, Claude Code-тан оны іске қосуды сұрайсыз.
2. Репозиторий алғашқы қолданғанда әдейі істен шығатын Python пакетін жүктейді.
3. Қате туралы хабарлама сыпайы түрде «түзету» пәрменін ұсынады: python3 -m axiom init.
4. init пәрмені setup.sh іске қосады.
5. Скрипт DNS TXT жазбасына сұрау жібереді (әдетте домен туралы ескертпелерге пайдаланылады, бірақ бұл өріске кез келген мәтінді енгізуге болады). Шабуылдаушы оған base64 арқылы кодталған пәрменді салады (кез келген деректі бос орынсыз және арнайы таңбасыз кәдімгі мәтінге айналдыру тәсілі) да, оны бірден bash-қа жібереді.
6. DNS жазбасының мәнін кез келген уақытта өзгертуге болады — сол арқылы шабуылдаушы пайдаланушы рұқсаттарымен және компьютердегі барлық құпия деректерге қолжетімді интерактивті кері shell ашады.

Көрсетілген соңғы жүктеме орындалу кезінде DNS-тен алынғандықтан, тек репозиторий байттарын сканерлеу оны ашпаған. Бұл әр сканер не runtime бақылауы дәрменсіз екенін дәлелдемейді: алынған мазмұнды қарау, процесті бақылау және желі шектеуі тізбекті таба не үзе алады. Дереккөз — нақты оқиғалардың жиілігі өлшенген есеп емес, тұжырымдаманы көрсету.

Pull Request тақырыбы үш түрлі AI агентін қалай басып алды?#

Зерттеуші осы жолдар мен жауаптарды сипаттайды; бұл — әр қазіргі өнім нұсқасының тексеруі емес, тарихи есеп:

Осы жария ету цикліндегі алғашқы және соңғы есептердің арасында бес айға жуық уақыт өтті (Claude Code туралы алғашқы есеп 2025 жылғы 17 қазанда жарияланды; GitHub Copilot-тағы соңғы қате 2026 жылғы 9 наурызда түзетілді). Есептегі ауырлық өзгерісі мен шаралар барлық ықтимал жүктеменің толық жабылғанын анықтамайды. Зерттеушінің PoC репозиторийі көрсетілген Claude жолын құжаттайды; шабуыл жүктемесін нақты жүйелерде орындамаңыз. Сіз үшін маңыздысы — шабуылдың үлгісі: тексерілмеген дерек GitHub-тан агентке өтеді, агент пәрмендерді орындайды, ал құпия деректер сол GitHub арқылы сыртқа шығады — шабуылдаушыға сыртқы сервер қажет емес.

Үлгіні түсіну үшін екі талдаудың өзі жеткілікті: әр жаңа осалдықты жеке-жеке түзету мүмкін емес, өйткені мұндай осалдықтар екі апта сайын анықталып тұрады. CLAUDE.md және settings.json файлдарында қауіпсіздік ережелерін есте сақтамай, анық жазу — контекст инженериясының бір бөлігі: бір рет орнатсаңыз, олар Claude Code-тың әр жаңа сеансында еске салусыз автоматты түрде жұмыс істейді. Үш тірек бірге жұмыс істейді: AI клон + Екінші ми + Контекст инженериясы — осы үйлесім Claude Code-ты бәріне сенетін орындаушыдан нақты ережелері бар агентке айналдырады.

Жалған Sentry қатесі агентіңізді басып ала ала ма?#

Шабуылға Sentry DSN кілті ғана керек — көптеген жобалар клиент жағындағы кодқа тікелей қосатын ашық идентификатор:

Механикасы қарапайым: әзірлеуші агенттен ашық Sentry қателерін тексеруді сұрайды; агент оларды MCP сервері арқылы сұратып, шынайы қателер араласқан зиянды оқиғаны алады және оған енгізілген пәрменді қатені түзетуге арналған сенімді нұсқау деп қабылдайды — өйткені ресми түрде одан дәл осы тапсырма сұралған.

Tenet сыналған орталарда бар бақылаулар ескертпегенін хабарлайды. Бұл барлық орналастыруда ізсіз орындауды анықтамайды: агент/құрал журналы, endpoint телеметриясы және желі жазбалары кейінгі әрекеттерді тіркей алады. Шабуыл сырттан жіберілген телеметриядан басталып, агенттің нақты құралдары мен рұқсаттарына тәуелді.

MCP құралының сипаттамасы жүйелік сұрау сияқты неге қауіпті?#

Microsoft-тың сөзі бұл тақырыптағы ең дәл сипаттама болды:

Бұл тәсіл құралды улау деп аталады: зиянсыз құралдың сипаттамасына жасырылған нұсқау агентті соған сай әрекет етуге итермелейді.

Бұл сынақта Claude 3.7 Sonnet зиянды нұсқауға ең төзімді болды, бірақ оның өзі жағдайлардың 3%-дан азында ғана ондай нұсқауды орындаудан бас тартты — ең үздік модельдің өзінде төзімділік қорғаныстан гөрі сәттілікке тәуелді. Эталонның күтпеген қорытындысы: модель нұсқауларды неғұрлым дәл орындаған сайын, метадеректе жасырылған пәрмен мен заңды пәрменді соғұрлым қиын ажыратады — модельдің артықшылығы өзіне қарсы жұмыс істейді.

Бұл шабуылдарға не ортақ және анықтау нені өткізуі мүмкін?#

Қорытынды төрт зерттеуге де ортақ: «код қалыпты көрінеді» дегенге сенуге болмайды — шабуылдың әр қадамы жеке алғанда шынымен зиянсыз. Агенттің нақты мүмкіндіктерін шектеп, ұсынған әрекеттерін қараңыз; анықтау мен шектеу шабуылдың бөлек бөліктеріне жауап береді.

Claude Code-та қандай қорғаныс бар және ол неге жеткіліксіз?#

Anthropic бұл мәселені жасырып қоймай, құжаттамасында ашық мойындайды:

Құжаттамаға сәйкес, агент бүкіл сұрауды күмәнді нұсқауларға тексереді, curl және wget пәрмендерін автоматты түрде мақұлдамайды, веб-мазмұнды негізгі контекстпен араласпауы үшін бөлек контекст терезесінде ұстайды, сондай-ақ жаңа код базасында алғаш іске қосқанда немесе жаңа MCP серверіне қосылғанда сенімді растауды талап етеді.

Бірақ Anthropic ашық айтатын қатаң ескерту бар:

Егер сіз Claude Code-ты «сұрақ қоя беруін тоқтатсын» деп ашуланып --dangerously-skip-permissions жалаушасымен іске қосқан болсаңыз, дәл сол кезде жоғарыда талқыланған төрт шабуылдың алдын ала алатын барлық тетікті өшірдіңіз. Мен бұл жалаушаны қолданбаймын, Claude Code бір сеанста оныншы рет сұраса да — бұл жалықтырады, бірақ сұрақтар «агент күмәнді мәтінді оқыды» мен «оны орындады» арасындағы шекара болып саналады. Бағдарламашы емес адамға арналған орынды баптау — стандартты рұқсат режимі (default немесе acceptEdits) және қосулы sandbox: файлдарды әдеттегідей өңдеу қосымша сұрақсыз орындалады, ал терминал пәрмендері агент алданғанның өзінде sandbox-тан шыға алмайды.

Sandbox режимін қосып, әдепкіде ашық қалатын олқылықты қалай жабуға болады?#

Оны барлық жобаға тұрақты қосу үшін ~/.claude/settings.json файлына бір өзгеріс енгізіңіз:

{
  "sandbox": { "enabled": true }
}

Әдепкіде sandbox ішіндегі пәрмендер тек жобаның жұмыс бумасына және сеанстың уақытша бумасына жаза алады. Желіге қатынау прокси арқылы өтеді — ешбір домен алдын ала рұқсат етілмеген, ал жаңа доменге алғаш қосылғанда Claude Code растау сұрайды. Anthropic мәліметінше, бұл рұқсат сұрауларын айтарлықтай азайтады — компанияның ішкі өлшемдерінде 84%-ға — өйткені sandbox кейбір қауіпсіз жағдайларды сізден сұрамай өзі өңдейді.

Стандартты баптауларда ашық қалатын олқылық: sandbox әдепкіде жазуды шектейді, бірақ ~/.aws/credentials және ~/.ssh сияқты файлдарды оқуға жол бермейді деп кепілдік бермейді. Жоғарыдағы шабуылдарда нысанаға алынғандары — дәл осы файлдар мен орта айнымалылары. Сол файлға бөлек блок қосып, олқылықты жабыңыз:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Мәні мынада: алғашқы талдаудағы кері shell sandbox ішінде ашылса да, бұл айнымалылар мен файлдар процесс басталмай тұрып оның ортасынан физикалық түрде алынады — ұрлайтын ештеңе қалмайды.

Бүгін permissions.deny ережелерінің қайсысын қосу керек?#

Бағдарламашы емес адамға арналған, төрт шабуылдың негізгі нысаналарын бірден қамтитын ең аз жиынтық:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Claude Code құжаттамасына сәйкес, deny ережелері allow ережелерінен әрдайым басым. Сондықтан сіз (немесе агенттің өзі) басқа жерде кеңірек қолжетімділікті кездейсоқ рұқсат етсеңіз де, нақты deny ережесі алдымен қолданылады. Бұл ереже басымдығы сәйкес құрал сұрауларына қатысты. Құпияның әр subprocess не құралдан қолжетімсіз екенін дәлелдемейді; файлдық жүйе мен орта шектеулерін де міндеттеңіз.

Claude Code-та auto режимі де бар: онда әрекеттерді іске қосар алдында жеке классификатор моделі тексереді — бұл сізбен сөйлесетін модель емес. Әдепкіде ол басқа әрекеттермен қатар, «кодты жүктеп алып, бірден іске қосу» үлгісін (curl | bash) бұғаттайды. Anthropic бұл санын азайтатын зерттеу режимі екенін, бірақ өздігінен қауіпсіздікке кепілдік бермейтінін ашық ескертеді — оны sandbox пен permissions.deny орнына емес, қосымша қабат ретінде қарастырыңыз.

Агентке сеніп тапсырар алдында репозиторий мен MCP серверін қалай тексеруге болады?#

Репозиторийлер үшін агентке бермес бұрын қысқа тексеру тізімі:

1. Бейтаныс дереккөзден келген электрондық хаттағы, жазбадағы немесе пікірдегі сілтеме арқылы бірден орнатуға кіріспеңіз.
2. Орнату кезінде «X пәрменін іске қосып түзетіңіз» деген нұсқауы бар қате шықса, Claude Code-қа орындауға рұқсат бермес бұрын X пәрменінің нақты не істейтінін оқып шығыңыз. Мұндай нұсқаудың әдеттегі болып көрінуі — шабуыл мақсаты болуы мүмкін.
3. Репозиторийдің жұлдыз санын ғана емес, құрылған уақытын және коммиттер тарихын да тексеріңіз — жаңадан жасалған репозиторийге жалған жұлдыздарды оңай қосуға болады.
4. Репозиторий таныс болмаса, орнатуды нақты кілттеріңіз сақталған жұмыс компьютерінде емес, виртуалды машинада іске қосыңыз. Бұл — сыртқы қызметтермен жұмыс істеуге арналған Anthropic-тың тікелей ұсынымы.

Anthropic-тың MCP серверлеріне қатысты ұстанымы ашық жарияланған:

Демек, үшінші тарап MCP серверлерін тексеру оларды орнатқан платформа емес, сіздің міндетіңіз. Кейбір командалар, негізінен қауіпсіздік саласындағы стартаптар, бұған арналған құралдарды жасап жатыр: уланған сипаттамаларды іздейтін MCP баптау сканерлері және алғашқы орнату кезінде құрал сипаттамасының хэшін сақтап, кейінгі өзгерістерді белгілейтін құралдарды «бекіту» тәсілі. Бұл технологиялар әлі жас, сондықтан әзірге оларға жалғыз қорғаныс ретінде сенуге ерте, бірақ әсіресе MCP серверлерін өндірістік ортаға қоссаңыз, бақылап отырған жөн. Мұндай қосылымдар үшін әр пакеттің нұсқасын бекітіп, құрал сипаттамаларының саусақ ізін аудит журналында тіркеуге болады.

Қорғанудың 7 ережесі: бүгінгі тексеру тізімі#

1. Sandbox режимін қосыңыз (/sandbox немесе ~/.claude/settings.json ішіндегі "sandbox": {"enabled": true}) және ~/.ssh пен ~/.aws/credentials файлдарын оқуға тыйым салатын credentials блогын қосыңыз.
2. Құпия файлдарды оқуға және қауіпті bash пәрмендерін (curl, wget, sudo) орындауға тыйым салатын permissions.deny ережелерін қосыңыз — deny ережесі allow ережесінен әрдайым басым.
3. Бөтен немесе тексерілмеген кодты --dangerously-skip-permissions жалаушасымен ешқашан іске қоспаңыз — ол осы шабуылдарды тоқтата алатын қорғаныстарды қоса, барлық қорғанысты бірден өшіреді.
4. Claude Code-тың қате туралы хабарламадағы «түзету» пәрменін автоматты түрде орындауына жол бермеңіз — алдымен оның нақты не істейтінін оқыңыз.
5. MCP серверлерін тек сенімді дереккөздерден орнатыңыз және Anthropic олардың қауіпсіздігін сіздің орныңызға тексермейтінін ұмытпаңыз.
6. Сеанстарды рұқсаттарына қарай бөліңіз: біреуі жеке деректеріңізбен жұмыс істеп, сыртқы деректерді көрмейді; екіншісі өзгенің электрондық хаттарын, репозиторийлері мен тапсырмаларын қарайды, бірақ құпия деректерге қол жеткізе алмайды; үшіншісі сыртқа жариялайды — тек өзіңіз мақұлдаған нәрсені. Өз жобаларымда бұл бөліністі қатаң сақтаймын: төлем кілттеріне қол жеткізетін сеанс кез келген сыртқы тапсырмаларды немесе репозиторийлерді оқымайды, ал өзгенің кодын талдайтын сеанс құпия деректерді мүлде көрмейді. Бір чатта бұл рөлдерді араластырмаңыз.
7. Claude Code пен оған қосылған автоматтандыру скрипттерін жаңартып отырыңыз — мұнда талқыланған олқылықтардың көбі осы нұсқаулық жарияланғанға дейін патчтармен жабылған еді, ал жаңалары да осылай түзетіледі.

Бұдан әрі не істеу керек#

Бұл қабаттардың ешқайсысы толық кепілдік бермейді — Anthropic-тың өзі ешбір қорғаныс абсолютті қауіпсіздікті қамтамасыз етпейтінін ашық айтады. Claude Code қате хабарламасындағы немесе issue пікіріндегі айланы өзі таниды деп күтпеймін. Мен үшін sandbox пен permissions.deny жоба контекстін басқару тәсіліне кіріктірілген: агент нені көреді, әдепкіде неге сенеді және қателескенде не болады.

Ailoot арқылы нейрондық желілерге қол жеткізу қажет болса, Ailoot сайтына өтіңіз.