Kaip svetima saugykla gali perimti Claude Code: 7 apsaugos taisyklės

Ailoot dokumentacija: API, raktai ir sąranka.

Keturi dokumentuoti keliai nuo nepatikimo teksto iki agento veiksmų#

Oficialus šio reiškinio pavadinimas — netiesioginis prompto įterpimas: kenkėjiška instrukcija ateina ne tiesiai iš jūsų, o per duomenis, kuriuos agentas apdoroja vykdydamas užduotį — svetimą README, klaidos pranešimą, GitHub komentarą ar išorinės paslaugos atsakymą. Terminą galite pamiršti vos perskaitę šią pastraipą; toliau kalbėsiu paprastai.

Toliau aptariami keturi tyrimų pavyzdžiai:

1. Įprastai atrodanti saugykla gali virsti atvirkštiniu apvalkalu.
2. Pull Request pavadinimas buvo parodytas galintis vienu metu apgauti tris skirtingus AI agentus.
3. Sentry netikra klaidos ataskaita buvo parodyta galinti pasiekti agentą vietoj tikros.
4. MCP įrankio aprašo instrukcijos gali paveikti agento elgseną; poveikis priklauso nuo modelio, sąrankos ir prieinamų įrankių.

Kaip nepavojingos saugyklos README virsta atvirkštiniu apvalkalu?#

Mechanizmai sukurti taip, kad nė vienas atskiras sluoksnis neatrodytų įtartinas:

1. Nusiklonuojate įprastai atrodančią saugyklą ir paprašote Claude Code ją paleisti.
2. Saugykla atsisiunčia Python paketą, kuris sukurtas taip, kad pirmą kartą jį naudojant įvyktų klaida.
3. Klaidos pranešime mandagiai pasiūloma „taisymo“ komanda: python3 -m axiom init.
4. Komanda init paleidžia setup.sh.
5. Skriptas užklausia DNS TXT įrašo (paprastai jis naudojamas su domenu susijusioms pastaboms, tačiau lauke galima įrašyti bet kokį tekstą). Užpuolikas ten įrašo base64 formatu užkoduotą komandą (būdą bet kokius duomenis paversti paprastu tekstu be tarpų ar specialiųjų simbolių) ir nukreipia ją tiesiai į bash.
6. DNS įrašo vertę galima bet kada pakeisti — taip užpuolikas įgyja interaktyvų atvirkštinį apvalkalą su jūsų naudotojo teisėmis ir prieiga prie visų kompiuteryje esančių slaptų duomenų.

Parodytas payload vykdymo metu gautas iš DNS, todėl vien saugyklos baitų skenavimas neatskleidė galutinio payload. Tai neįrodo, kad visi skeneriai ar vykdymo valdikliai bejėgiai: gauto turinio peržiūra, procesų stebėsena ir tinklo apribojimai gali atskleisti ar nutraukti grandinę. Šaltinis yra koncepcijos įrodymas, o ne tikrų incidentų paplitimo matavimas.

Kaip Pull Request pavadinimas apgavo tris skirtingus AI agentus?#

Tyrėjas aprašo šiuos kelius ir atsakymus; tai istorinė ataskaita, o ne kiekvienos dabartinės produkto versijos patikra:

Tarp pirmojo ir paskutinio pranešimo šiame atskleidimo cikle praėjo beveik penki mėnesiai (pirmasis pranešimas apie Claude Code paskelbtas 2025 m. spalio 17 d.; paskutinis GitHub Copilot klaidos pataisymas — 2026 m. kovo 9 d.). Ataskaitos rimtumo pakeitimas ir mažinimo priemonės nepatvirtina visiško visų galimų payload uždarymo. Tyrėjo PoC saugykla dokumentuoja parodytą Claude kelią; jos atakos payload nevykdykite tikrose sistemose. Jums svarbus pats atakos modelis: nepatikrinti duomenys iš GitHub patenka agentui, agentas vykdo komandas, o slapti duomenys nuteka per tą patį GitHub — užpuolikui nereikia išorinio serverio.

Dvi analizės padeda įžvelgti modelį: neįmanoma kiekvieną naują radinį spręsti atskirai; tokio pobūdžio pažeidžiamumų aptinkama kas dvi savaites. Aiškiai užrašyti saugos taisykles CLAUDE.md ir settings.json failuose, o ne laikyti jas atmintyje, yra konteksto inžinerijos dalis: nustatote jas vieną kartą, ir jos automatiškai taikomos kiekvienoje naujoje Claude Code sesijoje be priminimų. Kartu veikia trys atramos: AI klonas + Antrasis smegenų centras + Konteksto inžinerija — šis derinys Claude Code iš vykdytojo, kuris viskuo pasitiki, paverčia agentu, turinčiu aiškias taisykles.

Ar netikra Sentry klaidos ataskaita gali perimti jūsų agento kontrolę?#

Atakai tereikia Sentry DSN rakto — viešo identifikatoriaus, kurį daugelis projektų įtraukia tiesiai į kliento pusės kodą:

Mechanizmas paprastas: kūrėjas paprašo agento peržiūrėti atviras Sentry klaidas; agentas jų paprašo per MCP serverį, tarp tikrų gauna ir kenkėjišką įvykį, o jame įterptą komandą supranta kaip patikimą instrukciją klaidai ištaisyti — juk formaliai būtent to jo ir buvo paprašyta.

Tenet praneša, kad esami valdikliai jo bandytose aplinkose nesukėlė įspėjimų. Tai nepatvirtina vykdymo be pėdsakų visuose diegimuose: agentų ir įrankių žurnalai, galinių įrenginių telemetrija bei tinklo įrašai gali užfiksuoti tolesnius veiksmus. Ataka prasideda per išoriškai pateiktą telemetriją, tada priklauso nuo faktinių agento įrankių ir leidimų.

Kodėl MCP įrankio aprašas toks pat pavojingas kaip sistemos promptas?#

Microsoft formuluotė yra tiksliausia, kokią šia tema radau:

Ši technika vadinama įrankio užnuodijimu: agentas gali imtis veiksmų pagal instrukciją, paslėptą nekaltai atrodančiame įrankio apraše.

Claude 3.7 Sonnet šiame bandyme buvo atspariausias, bet net jis atsisakė vykdyti užnuodytą instrukciją mažiau nei 3% atvejų — net geriausio modelio atsparumas labiau priklauso nuo sėkmės nei nuo apsaugos. Etalono išvada prieštarauja intuicijai: kuo tiksliau modelis vykdo instrukcijas, tuo sunkiau jam atskirti teisėtą komandą nuo metaduomenyse paslėptos — jo stiprybė atsisuka prieš jį.

Kas bendra šioms atakoms ir ką aptikimas gali praleisti?#

Išvada tinka visiems keturiems tyrimams: negalima pasikliauti tuo, kad „kodas atrodo įprastas“ — kiekvienas atskiras atakos žingsnis iš tiesų yra nepavojingas. Ribokite faktines agento galimybes ir peržiūrėkite jo siūlomus veiksmus; aptikimas bei ribojimas sprendžia skirtingas atakos dalis.

Kokią apsaugą Claude Code jau turi — ir kodėl jos nepakanka?#

Anthropic šią problemą aiškiai pripažįsta savo dokumentacijoje, o ne slepia:

Dokumentacijoje nurodoma, kad agentas analizuoja visą promptą ir ieško įtartinų instrukcijų, automatiškai nepatvirtina curl ir wget, žiniatinklio turinį laiko atskirame konteksto lange, kad jis nesusimaišytų su pagrindiniu, ir reikalauja patvirtinti pasitikėjimą pirmą kartą paleidus naujoje kodo bazėje arba prijungus naują MCP serverį.

Tačiau Anthropic tiesiai įvardija esminę išlygą:

Jei kada nors iš susierzinimo paleidote Claude Code su --dangerously-skip-permissions, kad jis „nustotų įkyriai klausinėti“, išjungėte visus mechanizmus, kurie galėjo sustabdyti būtent keturias anksčiau aptartas atakas. Sąmoningai šią vėliavėlę palieku išjungtą, net kai Claude Code per vieną sesiją klausia jau dešimtą kartą — tai erzina, bet klausimai yra riba tarp „agentas perskaitė įtartiną tekstą“ ir „agentas jį įvykdė“. Protingas nustatymas ne programuotojui — įprastas leidimų režimas (default arba acceptEdits) ir įjungtas sandbox: įprasti failų pakeitimai atliekami be papildomų klausimų, o terminalo komandos fiziškai negali išeiti už sandbox ribų, net jei agentas buvo apgautas.

Kaip įjungti sandbox režimą ir užverti spragą, kurią jis pagal nutylėjimą palieka atvirą?#

Norėdami įjungti šią funkciją visam laikui visuose projektuose, pakeiskite ~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

Pagal nutylėjimą sandbox aplinkoje veikiančios komandos gali rašyti tik į projekto darbinį katalogą ir laikinąjį sesijos katalogą. Tinklo ryšys nukreipiamas per tarpinį serverį — iš anksto neleidžiamas nė vienas domenas, o pirmą kartą susisiekiant su nauju domenu Claude Code paprašys patvirtinimo. Anthropic teigia, kad tai smarkiai sumažina leidimų užklausų skaičių — 84% pagal bendrovės vidaus matavimus — nes kai kuriuos saugius atvejus savarankiškai apdoroja sandbox, užuot kaskart klausęs jūsų.

Standartiniai nustatymai palieka atvirą šią spragą: pagal nutylėjimą sandbox riboja rašymą, tačiau nedraudžia skaityti tokių failų kaip ~/.aws/credentials ir ~/.ssh. Būtent į šiuos failus ir aplinkos kintamuosius taikosi anksčiau aptartos atakos. Uždarykite šią spragą tame pačiame faile pridėdami atskirą bloką:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Svarbiausia, kad net jei pirmojoje analizėje minimas atvirkštinis apvalkalas atsidarytų sandbox viduje, šie kintamieji ir failai būtų fiziškai pašalinti iš proceso aplinkos dar prieš jam paleidžiant — neliktų nieko, ką būtų galima pavogti.

Kokias permissions.deny taisykles reikėtų įtraukti šiandien?#

Minimalus rinkinys ne programuotojui, kuris vienu metu apima pagrindinius visų keturių atakų taikinius:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Pagal Claude Code dokumentaciją, deny taisyklės visada turi pirmenybę prieš allow taisykles. Taigi net jei jūs (arba pats agentas) kitur netyčia suteiktumėte platesnę prieigą, konkreti deny taisyklė vis tiek būtų taikoma pirmiausia. Ši taisyklių pirmenybė taikoma atitinkantiems įrankių prašymams. Ji neįrodo, kad paslaptis nepasiekiama per kiekvieną antrinį procesą ar įrankį; taip pat naudokite užtikrintus failų sistemos ir aplinkos apribojimus.

Claude Code taip pat turi auto režimą, kuriame atskiras klasifikavimo modelis prieš paleidžiant patikrina veiksmus — tai ne tas pats modelis, su kuriuo kalbatės. Pagal nutylėjimą jis, be kita ko, blokuoja būtent modelį „atsisiųsk kodą ir iškart jį paleisk“ (curl | bash). Anthropic aiškiai įspėja, kad tai tiriamasis režimas, sumažinantis užklausų skaičių, bet pats savaime negarantuojantis saugumo — laikykite jį papildomu sluoksniu, o ne sandbox ir permissions.deny pakaitalu.

Kaip patikrinti saugyklą ir MCP serverį prieš patikint juos savo agentui?#

Prieš perduodami saugyklą agentui, trumpai ją patikrinkite:

1. Neskubėkite diegti iš nuorodos el. laiške, įraše ar atsiliepime iš nepažįstamo šaltinio.
2. Jei diegiant pateikiama klaida su instrukcija „paleiskite komandą X, kad ištaisytumėte“, prieš leisdami Claude Code ją vykdyti perskaitykite, ką iš tikrųjų daro X. Anksčiau aptartoje analizėje pateikta instrukcija atrodė visiškai įprasta — tokia ir buvo jos esmė.
3. Patikrinkite saugyklos amžių ir commit istoriją, ne vien žvaigždučių skaičių — naujai sukurtoms saugykloms nesunku priskirti netikrų žvaigždučių būtent tokio pobūdžio atakai.
4. Jei saugykla jums nepažįstama, diegimą vykdykite virtualiojoje mašinoje, o ne darbo kompiuteryje, kuriame yra tikrų raktų. Tai tiesioginė pačios Anthropic rekomendacija dirbant su išorinėmis paslaugomis.

Anthropic pozicija dėl MCP serverių išdėstyta atvirai:

Tai reiškia, kad už trečiųjų šalių MCP serverių patikrą atsakote jūs, o ne platforma, iš kurios juos įdiegėte. Kai kurios komandos — daugiausia saugumo startuoliai — jau kuria tam skirtus įrankius: MCP konfigūracijos skaitytuvus, ieškančius užnuodytų aprašų, ir įrankių „prisegimą“, kuris pirmą kartą įdiegus išsaugo aprašo maišos reikšmę ir pažymi visus vėlesnius pakeitimus. Šios technologijos dar naujos, todėl kol kas per anksti jomis pasikliauti kaip vienintele apsauga — tačiau verta jas stebėti, ypač jei jungiate MCP serverius prie gamybinės aplinkos. Tokiems ryšiams galite prisegti kiekvieno paketo versiją ir audito žurnale įrašyti įrankių aprašų kontrolinį atspaudą.

7 apsaugos taisyklės: šiandienos kontrolinis sąrašas#

1. Įjunkite sandbox režimą (/sandbox arba "sandbox": {"enabled": true} faile ~/.claude/settings.json) ir pridėkite credentials bloką, neleidžiantį skaityti ~/.ssh ir ~/.aws/credentials.
2. Pridėkite permissions.deny taisykles, draudžiančias skaityti slaptus failus ir vykdyti pavojingas bash komandas (curl, wget, sudo) — deny taisyklė visada turi viršenybę prieš allow.
3. Niekada nepaleiskite --dangerously-skip-permissions su svetimu ar nepatikrintu kodu — šis parametras iškart išjungia visas apsaugos priemones, įskaitant tas, kurios galėjo sustabdyti būtent šias atakas.
4. Neleiskite Claude Code automatiškai paleisti „taisymo“ komandos iš klaidos pranešimo — pirmiausia perskaitykite, ką ji iš tikrųjų daro.
5. MCP serverius diekite tik iš patikimų šaltinių ir atminkite, kad Anthropic netikrina jų saugumo jūsų vardu.
6. Atskirkite sesijas pagal leidimus: viena dirba su jūsų asmeniniais duomenimis ir nemato išorinių duomenų; antroji nagrinėja kitų žmonių el. laiškus, saugyklas ir bilietus, bet neturi prieigos prie slaptų duomenų; trečioji skelbia išorėje — ir tik tai, ką asmeniškai patvirtinote. Savo projektuose šio principo laikausi griežtai: sesija, turinti prieigą prie mokėjimų raktų, neskaito atsitiktinių išorinių bilietų ar saugyklų, o sesija, nagrinėjanti kitų žmonių kodą, išvis nemato slaptų duomenų. Nemaišykite šių vaidmenų viename pokalbyje.
7. Nuolat atnaujinkite Claude Code ir prijungtus automatizavimo skriptus — tikrinkite konkrečios versijos saugumo pakeitimus ir neatlikite išvados apie visos atakų klasės uždarymą vien iš istorinio pataisymo.

Kas toliau#

Nė vienas iš šių sluoksnių negarantuoja visiškos apsaugos — pati Anthropic atvirai teigia, kad jokia apsauga nesuteikia visiško imuniteto. Nesitikiu, kad Claude Code savaime atpažins gudrybę klaidos pranešime ar issue komentare. Man sandbox ir permissions.deny yra projekto konteksto valdymo dalis: ką agentas mato, kuo pasitiki pagal nutylėjimą ir kas nutinka jam suklydus.

Jei jums reikia prieigos prie neuroninių tinklų per Ailoot, apsilankykite Ailoot.