Bagaimana Repositori Orang Lain Boleh Mengambil Alih Claude Code: 7 Peraturan Perlindungan

Dokumentasi Ailoot: API, kunci dan persediaan.

Empat laluan didokumenkan daripada teks tidak dipercayai kepada tindakan ejen#

Secara formal, ini dipanggil suntikan prompt tidak langsung: arahan berniat jahat bukan datang terus daripada anda, tetapi melalui data yang diproses ejen semasa melaksanakan tugasan — README asing, mesej ralat, komen GitHub atau respons daripada perkhidmatan luaran. Anda boleh melupakan istilah itu sejurus selepas perenggan ini; selepas ini, saya akan menggunakan bahasa biasa.

Empat contoh penyelidikan dibincangkan di bawah:

1. Repositori yang kelihatan tidak berbahaya ditunjukkan boleh bertukar menjadi reverse shell.
2. Tajuk Pull Request ditunjukkan boleh mengambil alih tiga ejen AI yang berbeza serentak.
3. Ejen ditunjukkan boleh menerima laporan ralat Sentry palsu dan bukannya laporan sebenar.
4. Metadata alat MCP boleh mengandungi arahan yang mempengaruhi ejen; kesannya perlu dibaca mengikut model dan persediaan penyelidikan, bukan disamakan secara automatik dengan prompt sistem.

Bagaimanakah README repositori yang tidak berbahaya boleh bertukar menjadi reverse shell?#

Bukti konsep 0DIN pada 25 Jun 2026 menunjukkan mekanisme berikut, dengan langkah individu yang kelihatan biasa:

1. Anda mengklon repositori yang kelihatan biasa dan meminta Claude Code menjalankannya.
2. Repositori itu menarik masuk pakej Python yang direka untuk gagal pada penggunaan pertama.
3. Mesej ralat mencadangkan arahan “pembaikan” dengan sopan: python3 -m axiom init.
4. Arahan init menjalankan setup.sh.
5. Skrip itu membuat pertanyaan kepada rekod DNS TXT (biasanya digunakan untuk nota berkaitan domain, tetapi medan itu menerima apa-apa teks). Penyerang meletakkan arahan yang dikodkan dalam base64 di situ (cara menukar sebarang data menjadi teks biasa tanpa ruang atau aksara khas), lalu menyalurkannya terus ke bash.
6. Nilai rekod DNS boleh diubah pada bila-bila masa — ini memberikan penyerang reverse shell interaktif dengan kebenaran pengguna anda dan akses kepada semua rahsia pada mesin tersebut.

Payload ditunjukkan diambil semasa runtime daripada DNS, maka mengimbas bait repositori sahaja tidak mendedahkan payload akhir. Ini tidak membuktikan setiap pengimbas atau kawalan runtime tidak berdaya: pemeriksaan kandungan diambil, pemantauan proses dan sekatan rangkaian boleh mendedahkan atau memutus rantaian. Sumber ialah bukti konsep, bukan ukuran kelaziman insiden dunia sebenar.

Bagaimanakah tajuk Pull Request mengambil alih tiga ejen AI yang berbeza?#

Penyelidik menerangkan laluan dan respons berikut; ini laporan sejarah, bukan pengesahan setiap versi produk semasa:

Hampir lima bulan berlalu antara laporan pertama dengan laporan terakhir dalam kitaran pendedahan ini (laporan Claude Code yang pertama bertarikh 17 Oktober 2025; pembaikan pepijat GitHub Copilot yang terakhir bertarikh 9 Mac 2026). Perubahan keterukan dan mitigasi laporan tidak membuktikan penutupan lengkap setiap payload mungkin. Repositori PoC penyelidik mendokumenkan laluan Claude ditunjukkan; jangan jalankan payload serangannya terhadap sistem sebenar. Nilai untuk anda terletak pada pola serangan itu sendiri: data GitHub yang belum disahkan masuk ke dalam ejen, ejen menjalankan arahan dan rahsia bocor melalui GitHub yang sama — penyerang tidak memerlukan pelayan luaran.

Dua analisis sudah cukup untuk melihat polanya: membaiki setiap penemuan baharu satu demi satu bukanlah langkah yang berdaya maju; kelemahan seperti ini muncul setiap dua minggu. Menulis peraturan keselamatan secara jelas dalam CLAUDE.md dan settings.json, bukannya mengingatinya sendiri, ialah sebahagian daripada kejuruteraan konteks: tetapkannya sekali dan peraturan itu akan berfungsi secara automatik dalam setiap sesi Claude Code baharu, tanpa peringatan. Tiga tonggak berfungsi bersama: klon AI + Otak Kedua + Kejuruteraan Konteks — gabungan ini menukar Claude Code daripada pelaksana yang mempercayai segala-galanya kepada ejen dengan peraturan yang jelas.

Bolehkah laporan ralat Sentry palsu mengambil alih ejen anda?#

Serangan ini hanya memerlukan kunci DSN Sentry — pengecam awam yang dimasukkan oleh banyak projek terus ke dalam kod sisi klien:

Mekanismenya mudah: seorang pembangun meminta ejen menyemak ralat Sentry yang masih terbuka; ejen meminta senarai itu melalui pelayan MCP, menerima peristiwa berniat jahat yang bercampur dengan peristiwa sebenar dan membaca arahan di dalamnya sebagai arahan yang dipercayai untuk membetulkan ralat — kerana secara formal, itulah tugasan yang diminta.

Tenet melaporkan kawalan sedia ada tidak memberi amaran dalam persekitaran diuji. Itu tidak membuktikan pelaksanaan tanpa jejak dalam semua penggunaan: log ejen/alat, telemetri endpoint dan rekod rangkaian boleh merakam tindakan kemudian. Serangan bermula melalui telemetri dihantar luaran, kemudian bergantung pada alat dan kebenaran efektif ejen.

Mengapakah penerangan alat MCP sama berbahayanya dengan prompt sistem?#

Ungkapan Microsoft ialah yang paling tepat pernah saya temui tentang perkara ini:

Teknik ini dipanggil peracunan alat: arahan yang disembunyikan dalam penerangan alat yang kelihatan tidak berbahaya membuatkan ejen bertindak mengikut arahan itu.

Claude 3.7 Sonnet menunjukkan daya tahan terbaik dalam ujian ini, tetapi model itu pun menolak untuk mengikuti arahan yang diracuni dalam kurang daripada 3% kes — daya tahan model terbaik sekalipun lebih bergantung pada nasib berbanding perlindungan. Pemerhatian penanda aras ini berkaitan model dan persediaan diuji; ia tidak membuktikan hukum sejagat bahawa model yang lebih tepat sentiasa lebih rentan kepada metadata berniat jahat.

Apakah persamaan serangan ini — dan apakah yang boleh terlepas daripada pengesanan?#

Kesimpulannya terpakai kepada keempat-empat penemuan: anda tidak boleh bergantung pada “kod itu nampak biasa” — setiap langkah individu dalam serangan memang kelihatan tidak berbahaya. Hadkan keupayaan efektif ejen dan periksa tindakan dicadangkan; pengesanan serta pembendungan menangani bahagian serangan berbeza.

Apakah perlindungan yang sudah ada pada Claude Code — dan mengapa perlindungan itu tidak mencukupi?#

Anthropic mengakui masalah ini secara langsung dalam dokumentasinya, bukannya menyembunyikannya:

Menurut dokumentasi itu, ejen menganalisis keseluruhan prompt untuk mencari arahan mencurigakan, tidak meluluskan curl dan wget secara automatik, menyimpan kandungan web dalam tetingkap konteks berasingan supaya tidak bercampur dengan tetingkap utama, dan memerlukan pengesahan kepercayaan pada kali pertama anda melancarkannya dalam pangkalan kod baharu atau menyambungkan pelayan MCP baharu.

Namun, ada batasan keras yang dinyatakan Anthropic secara terus terang:

Jika anda pernah melancarkan Claude Code dengan --dangerously-skip-permissions kerana geram supaya ia “berhenti mengganggu anda dengan soalan”, anda telah mematikan semua mekanisme yang mungkin menghalang tepat empat serangan yang dibincangkan di atas. Saya sengaja membiarkan bendera ini dimatikan, walaupun Claude Code bertanya lagi buat kali kesepuluh dalam satu sesi — memang menjengkelkan, tetapi soalan itu ialah sempadan antara “ejen membaca teks yang mencurigakan” dengan “ejen melaksanakannya”. Persediaan yang munasabah bagi bukan pengatur cara ialah mod kebenaran standard (default atau acceptEdits) dengan sandbox diaktifkan: pengeditan fail biasa berjalan tanpa soalan tambahan, manakala arahan terminal secara fizikal tidak dapat keluar daripada sandbox, walaupun ejen telah diperdaya.

Bagaimana cara mengaktifkan mod sandbox dan menutup jurang yang dibiarkan terbuka secara lalai?#

Untuk mengaktifkannya secara kekal bagi semua projek, buat satu perubahan pada ~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

Secara lalai, arahan dalam sandbox hanya boleh menulis ke direktori kerja projek dan direktori sementara sesi. Akses rangkaian melalui proksi — tiada domain dibenarkan terlebih dahulu, dan Claude Code akan meminta pengesahan apabila menghubungi domain baharu buat kali pertama. Menurut Anthropic, langkah ini mengurangkan permintaan kebenaran dengan ketara — sebanyak 84% berdasarkan ukuran dalaman syarikat — kerana sandbox mengendalikan sendiri beberapa kes selamat dan tidak perlu bertanya kepada anda setiap kali.

Jurang yang masih terbuka dalam tetapan standard: secara lalai, sandbox mengehadkan penulisan, tetapi tidak menghalang pembacaan fail seperti ~/.aws/credentials dan ~/.ssh. Fail dan pemboleh ubah persekitaran inilah yang menjadi sasaran serangan di atas. Tutup jurang itu dengan blok berasingan dalam fail yang sama:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Maksudnya, walaupun reverse shell daripada analisis pertama dibuka dalam sandbox, pemboleh ubah dan fail ini dikeluarkan secara fizikal daripada persekitaran proses sebelum proses itu bermula — tiada apa-apa yang tinggal untuk dicuri.

Apakah peraturan permissions.deny yang patut anda tambah hari ini?#

Set minimum untuk bukan pengatur cara yang meliputi sasaran utama keempat-empat serangan serentak:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Menurut dokumentasi Claude Code, peraturan deny sentiasa diberi keutamaan berbanding peraturan allow. Jadi, walaupun anda (atau ejen itu sendiri) secara tidak sengaja membenarkan akses yang lebih luas di tempat lain, peraturan deny yang khusus tetap berkuat kuasa dahulu. Keutamaan peraturan ini terpakai pada permintaan alat sepadan. Ia tidak membuktikan rahsia tidak boleh dicapai melalui setiap subproses atau alat; gunakan juga sekatan sistem fail dan persekitaran dikuatkuasakan.

Claude Code juga mempunyai mod auto, yang menggunakan model pengelas berasingan untuk menyemak tindakan sebelum tindakan itu dijalankan — model ini bukan model yang berbual dengan anda. Secara lalai, antara lain, mod ini menyekat pola “muat turun kod dan terus jalankannya” (curl | bash). Anthropic memberi amaran dengan jelas bahawa ini ialah mod penyelidikan yang mengurangkan bilangan prompt tetapi tidak menjamin keselamatan dengan sendirinya — anggaplah ia lapisan tambahan, bukannya pengganti sandbox dan permissions.deny.

Bagaimana cara menyemak repositori dan pelayan MCP sebelum mempercayakannya kepada ejen anda?#

Untuk repositori, berikut ialah senarai semak ringkas sebelum menyerahkannya kepada ejen:

1. Jangan terus memasang daripada pautan dalam e-mel, hantaran atau ulasan daripada sumber yang tidak dikenali.
2. Jika pemasangan menghasilkan ralat dengan arahan untuk “jalankan arahan X bagi membetulkannya”, baca dahulu perkara yang sebenarnya dilakukan oleh X sebelum membenarkan Claude Code menjalankannya. Arahan itu mungkin kelihatan biasa, tetapi boleh menyembunyikan tindakan berbahaya.
3. Semak usia repositori dan sejarah commit, bukan jumlah bintangnya sahaja — repositori yang baru diwujudkan boleh diberikan bintang palsu dengan mudah khusus untuk serangan seperti ini.
4. Jika repositori itu tidak dikenali, jalankan pemasangan dalam mesin maya, bukan pada mesin kerja anda yang mempunyai kunci sebenar. Ini ialah cadangan langsung Anthropic sendiri untuk bekerja dengan perkhidmatan luaran.

Pendirian Anthropic tentang pelayan MCP dinyatakan secara terbuka:

Ini bermakna anda bertanggungjawab menyemak pelayan MCP pihak ketiga, bukannya platform tempat anda memasangnya. Sesetengah pasukan — kebanyakannya syarikat pemula keselamatan — sudah membina alat untuk tujuan ini: pengimbas konfigurasi MCP yang mencari penerangan yang diracuni dan “penetapan” alat, yang menyimpan hash penerangan semasa pemasangan pertama lalu menandakan sebarang perubahan kemudian. Teknologi ini masih baharu, jadi terlalu awal untuk bergantung padanya sebagai satu-satunya perlindungan — tetapi wajar diperhatikan, terutamanya jika anda menyambungkan pelayan MCP kepada persekitaran produksi. Bagi sambungan tersebut, anda boleh menetapkan versi setiap pakej dan merekodkan cap jari penerangan alat dalam log audit.

7 peraturan perlindungan: senarai semak hari ini#

1. Aktifkan mod sandbox (/sandbox atau "sandbox": {"enabled": true} dalam ~/.claude/settings.json) dan tambahkan blok credentials yang menghalang pembacaan ~/.ssh dan ~/.aws/credentials.
2. Tambahkan peraturan permissions.deny untuk menghalang pembacaan fail rahsia dan arahan bash berbahaya (curl, wget, sudo) — peraturan deny sentiasa mengatasi peraturan allow.
3. Jangan sekali-kali jalankan --dangerously-skip-permissions pada kod asing atau yang belum disahkan — pilihan itu mematikan semua perlindungan serentak, termasuk perlindungan yang boleh menghalang serangan ini.
4. Jangan benarkan Claude Code menjalankan secara automatik arahan “pembaikan” daripada mesej ralat — baca dahulu perkara yang sebenarnya dilakukan oleh arahan itu.
5. Pasang pelayan MCP hanya daripada sumber yang anda percayai dan ingat bahawa Anthropic tidak menyemak keselamatannya bagi pihak anda.
6. Asingkan sesi mengikut kebenaran: satu sesi bekerja dengan data peribadi anda dan tidak melihat data luaran; sesi kedua menyemak e-mel, repositori dan tiket orang lain tetapi tidak mempunyai akses kepada rahsia; sesi ketiga menerbitkan kandungan secara luaran — dan hanya kandungan yang anda luluskan sendiri. Saya menguatkuasakan pengasingan ini dalam projek saya: sesi yang mempunyai akses kepada kunci pembayaran tidak membaca tiket atau repositori luaran yang sewenang-wenangnya, manakala sesi yang menghuraikan kod orang lain langsung tidak melihat rahsia. Jangan campurkan peranan ini dalam satu sembang.
7. Pastikan Claude Code dan skrip automasi yang disambungkan sentiasa dikemas kini — kebanyakan jurang yang dibincangkan di sini sudah ditutup dengan tampalan ketika panduan ini diterbitkan, dan jurang baharu diperbaiki dengan cara yang serupa.

Apa seterusnya#

Tiada satu pun lapisan ini merupakan jaminan — Anthropic sendiri mengakui dengan jujur bahawa tiada perlindungan memberikan kekebalan sepenuhnya. Saya tidak mengharapkan Claude Code mengenali helah dalam mesej ralat atau komen isu dengan sendirinya. Bagi saya, sandbox dan permissions.deny ialah sebahagian daripada cara saya mengurus konteks projek: perkara yang dilihat oleh ejen, perkara yang dipercayainya secara lalai dan perkara yang berlaku apabila ejen melakukan kesilapan.

Jika anda memerlukan akses kepada rangkaian neural melalui Ailoot, lihat Ailoot.