Jak obce repozytorium może przejąć Claude Code: 7 zasad ochrony

Dokumentacja Ailoot: API, klucze i konfiguracja.

Cztery udokumentowane ścieżki od niezaufanego tekstu do działań agenta#

Formalnie nazywa się to pośrednim wstrzyknięciem promptu: złośliwe polecenie nie pochodzi bezpośrednio od ciebie, lecz z danych przetwarzanych przez agenta podczas wykonywania zadania — obcego pliku README, komunikatu o błędzie, komentarza na GitHubie lub odpowiedzi zewnętrznej usługi. Po przeczytaniu tego akapitu możesz zapomnieć o tym terminie; dalej będę używać prostego języka.

Cztery omawiane przykłady badawcze:

1. Pozornie nieszkodliwe repozytorium może zamienić się w powłokę zwrotną.
2. Tytuł Pull Requesta może przejąć kontrolę nad trzema różnymi agentami AI.
3. Agent może otrzymać fałszywy raport o błędzie z Sentry zamiast prawdziwego.
4. Opis narzędzia MCP może wpływać na działania agenta zależnie od modelu i konfiguracji.

Jak README pozornie nieszkodliwego repozytorium zmienia się w powłokę zwrotną?#

Dowód koncepcji 0DIN z 25 czerwca 2026 pokazuje następujący mechanizm:

1. Klonujesz zwyczajnie wyglądające repozytorium i prosisz Claude Code o jego uruchomienie.
2. Repozytorium pobiera pakiet Python, który został zaprojektowany tak, by zawieść przy pierwszym użyciu.
3. Komunikat o błędzie uprzejmie sugeruje polecenie „naprawcze”: python3 -m axiom init.
4. Polecenie init uruchamia setup.sh.
5. Skrypt odpytuje rekord DNS TXT (zwykle używany do przechowywania informacji związanych z domeną, ale pole to przyjmuje dowolny tekst). Napastnik umieszcza tam polecenie zakodowane w base64 (sposób zamiany dowolnych danych na zwykły tekst bez spacji i znaków specjalnych), a następnie przekazuje je prosto do bash.
6. Wartość rekordu DNS można zmienić w dowolnym momencie — daje to napastnikowi interaktywną powłokę zwrotną z uprawnieniami użytkownika i dostępem do wszystkich sekretów na komputerze.

Demonstrowany ładunek pobierano z DNS podczas działania, więc skan samych bajtów repozytorium nie ujawniał końcowego ładunku. Nie dowodzi to bezradności każdego skanera i kontroli wykonania: inspekcja pobranej treści, monitoring procesów i ograniczenia sieci mogą ujawnić lub przerwać łańcuch. Źródło jest demonstracją, nie pomiarem rozpowszechnienia rzeczywistych incydentów.

Jak tytuł Pull Requesta przejął kontrolę nad trzema różnymi agentami AI?#

Badacz opisuje te ścieżki i reakcje; to historyczny raport, nie weryfikacja każdej obecnej wersji produktu:

Między pierwszym a ostatnim raportem w tym cyklu ujawniania minęło prawie pięć miesięcy (pierwszy raport o Claude Code pochodził z 17 października 2025 roku, a ostatnią poprawkę błędu GitHub Copilot opublikowano 9 marca 2026 roku). Zmiana oceny i ograniczenia raportu nie dowodzą pełnego zamknięcia wszystkich ładunków. Repozytorium PoC badacza dokumentuje zademonstrowaną ścieżkę Claude; nie uruchamiaj atakującego ładunku przeciw rzeczywistym systemom. Wartością dla ciebie jest sam wzorzec ataku: niezweryfikowane dane z GitHuba trafiają do agenta, agent wykonuje polecenia, a sekrety wyciekają przez tego samego GitHuba — napastnik nie potrzebuje zewnętrznego serwera.

Opisane analizy wskazują powtarzalny wzorzec, ale nie ustalają dwutygodniowej częstotliwości odkryć ani niemożliwości napraw. Jawne zapisanie zasad bezpieczeństwa w CLAUDE.md i settings.json zamiast trzymania ich w pamięci to element inżynierii kontekstu: ustaw je raz, a będą działać automatycznie w każdej nowej sesji Claude Code, bez przypominania. Współdziałają trzy filary: klon AI + Drugi Mózg + Inżynieria Kontekstu — to połączenie zmienia Claude Code z wykonawcy, który ufa wszystkiemu, w agenta przestrzegającego jawnych zasad.

Czy fałszywy raport o błędzie z Sentry może przejąć twojego agenta?#

Do ataku wystarczy klucz DSN Sentry — publiczny identyfikator, który wiele projektów umieszcza bezpośrednio w kodzie po stronie klienta:

Mechanizm jest prosty: programista prosi agenta o sprawdzenie otwartych błędów Sentry; agent pobiera je przez serwer MCP, otrzymuje złośliwe zdarzenie zmieszane z prawdziwymi i odczytuje zawarte w nim polecenie jako zaufaną instrukcję naprawy błędu — bo formalnie właśnie o to go poproszono.

Tenet zgłasza brak alertów istniejących kontroli w testowanych środowiskach. Nie dowodzi to braku śladów wszędzie: logi agenta i narzędzi, telemetria urządzenia i zapisy sieci mogą rejestrować dalsze działania. Atak zaczyna się od zewnętrznie przesłanej telemetrii, potem zależy od faktycznych narzędzi i uprawnień agenta.

Dlaczego opis narzędzia MCP jest równie niebezpieczny jak prompt systemowy?#

Sformułowanie Microsoftu jest najtrafniejsze, jakie znalazłem na ten temat:

Ta technika, zwana zatruwaniem narzędzi, polega na ukryciu instrukcji w opisie niewinnego narzędzia, co skłania agenta do działania zgodnie z nią.

Wnioski MCPTox dotyczą badanych modeli, narzędzi i konfiguracji. Nie traktuj pojedynczego wyniku odporności ani obserwacji związku ze zdolnościami jako przewidywania dla każdej instalacji; sprawdzaj rzeczywisty zakres dostępu i wykonania.

Co łączy te ataki i co może przeoczyć wykrywanie?#

Wniosek dotyczy wszystkich czterech ustaleń: nie można ufać, że „kod wygląda normalnie” — każdy pojedynczy krok ataku jest naprawdę nieszkodliwy. Ogranicz faktyczne możliwości agenta i sprawdzaj proponowane działania; wykrywanie i ograniczanie skutków dotyczą różnych części ataku.

Jakie zabezpieczenia ma już Claude Code i dlaczego nie wystarczają?#

Anthropic otwarcie przyznaje się do problemu w swojej dokumentacji, zamiast go ukrywać:

Zgodnie z dokumentacją agent analizuje cały prompt pod kątem podejrzanych instrukcji, nie zatwierdza automatycznie curl i wget, przechowuje treści internetowe w oddzielnym oknie kontekstu, by nie mieszały się z głównym, oraz wymaga potwierdzenia zaufania przy pierwszym uruchomieniu w nowej bazie kodu lub połączeniu z nowym serwerem MCP.

Jest jednak istotne zastrzeżenie, które Anthropic przedstawia bez ogródek:

Jeśli kiedykolwiek uruchomiłeś Claude Code z --dangerously-skip-permissions, zirytowany, że „ciągle zadaje pytania”, wyłączyłeś wtedy wszystkie mechanizmy, które mogłyby zatrzymać dokładnie cztery omówione wyżej ataki. Celowo nie używam tej flagi, nawet gdy Claude Code pyta po raz dziesiąty w trakcie sesji — to irytujące, ale te pytania wyznaczają granicę między „agent przeczytał podejrzany tekst” a „agent go wykonał”. Rozsądna konfiguracja dla osoby niebędącej programistą to standardowy tryb uprawnień (default lub acceptEdits) z włączoną piaskownicą: zwykłe zmiany plików odbywają się bez dodatkowych pytań, a polecenia terminala fizycznie nie mogą wyjść poza piaskownicę, nawet jeśli agent został oszukany.

Jak włączyć tryb piaskownicy i zamknąć pozostawioną domyślnie lukę?#

Aby włączyć ją na stałe we wszystkich projektach, zmień jedną rzecz w ~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

Domyślnie polecenia uruchomione w piaskownicy mogą zapisywać dane tylko w katalogu roboczym projektu i tymczasowym katalogu sesji. Dostęp do sieci odbywa się przez proxy — żadna domena nie jest wcześniej dozwolona, a Claude Code poprosi o potwierdzenie przy pierwszym połączeniu z nową domeną. Anthropic podaje, że znacznie ogranicza to liczbę pytań o uprawnienia — o 84% według wewnętrznych pomiarów firmy — ponieważ część bezpiecznych przypadków obsługuje sama piaskownica, zamiast za każdym razem pytać użytkownika.

Luka pozostawiona przez standardowe ustawienia: piaskownica domyślnie ogranicza zapis, ale nie blokuje odczytu plików takich jak ~/.aws/credentials i ~/.ssh. To właśnie te pliki i zmienne środowiskowe były celem opisanych wyżej analiz. Zamknij tę lukę, dodając osobny blok w tym samym pliku:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Chodzi o to, że nawet jeśli powłoka zwrotna z pierwszej analizy otworzy się wewnątrz piaskownicy, te zmienne i pliki zostaną fizycznie usunięte ze środowiska procesu przed jego uruchomieniem — nie będzie już czego ukraść.

Jakie reguły permissions.deny dodać już dziś?#

Minimalny zestaw dla osoby niebędącej programistą, obejmujący główne cele wszystkich czterech ataków:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Zgodnie z dokumentacją Claude Code reguły deny zawsze mają pierwszeństwo przed regułami allow. Nawet jeśli ty (lub sam agent) przypadkowo zezwolisz gdzie indziej na szerszy dostęp, konkretna reguła deny nadal zadziała jako pierwsza. Pierwszeństwo reguł dotyczy dopasowanych żądań narzędzi. Nie dowodzi nieosiągalności sekretu przez każdego potomka i narzędzie; stosuj także egzekwowane ograniczenia plików i środowiska.

Claude Code ma też tryb auto, w którym osobny model klasyfikujący sprawdza działania przed ich wykonaniem — nie jest to ten sam model, który z tobą rozmawia. Domyślnie blokuje między innymi dokładnie taki wzorzec, jak „pobierz kod i natychmiast go wykonaj” (curl | bash), na którym kończy się opisany wyżej atak. Anthropic wyraźnie ostrzega, że jest to tryb badawczy, który ogranicza liczbę monitów, ale sam nie gwarantuje bezpieczeństwa — traktuj go jako dodatkową warstwę, a nie zastępstwo piaskownicy i permissions.deny.

Jak sprawdzić repozytorium i serwer MCP, zanim zaufasz im w pracy z agentem?#

Przed przekazaniem repozytorium agentowi skorzystaj z krótkiej listy kontrolnej:

1. Nie instaluj od razu z linku w wiadomości e-mail, poście lub recenzji pochodzących z nieznanego źródła.
2. Jeśli podczas instalacji wystąpi błąd z instrukcją „uruchom polecenie X, aby go naprawić”, przed zezwoleniem Claude Code sprawdź, co dokładnie robi X. Instrukcja w analizowanym wyżej przypadku wyglądała zupełnie rutynowo — na tym polegał podstęp.
3. Sprawdź wiek repozytorium i historię commitów, a nie tylko liczbę gwiazdek — nowym repozytoriom łatwo sztucznie nabić gwiazdki specjalnie na potrzeby takich ataków.
4. Jeśli repozytorium jest nieznane, uruchom instalację na maszynie wirtualnej, a nie na komputerze służbowym z prawdziwymi kluczami. To bezpośrednie zalecenie Anthropic dotyczące pracy z usługami zewnętrznymi.

Stanowisko Anthropic w sprawie serwerów MCP jest jawne:

Oznacza to, że za sprawdzenie serwerów MCP firm trzecich odpowiadasz ty, a nie platforma, na której je zainstalowano. Niektóre zespoły — głównie startupy z branży bezpieczeństwa — już tworzą takie narzędzia: skanery konfiguracji MCP wyszukujące zatrute opisy oraz „przypinanie” narzędzi, które zapisuje skrót opisu przy pierwszej instalacji i sygnalizuje późniejsze zmiany. Te technologie są nowe, więc za wcześnie, by polegać na nich jako jedynej ochronie — warto je jednak obserwować, zwłaszcza jeśli łączysz serwery MCP ze środowiskiem produkcyjnym. W takich połączeniach możesz przypiąć wersję każdego pakietu i zapisać odcisk opisów narzędzi w dzienniku audytowym.

7 zasad ochrony: dzisiejsza lista kontrolna#

1. Włącz tryb piaskownicy (/sandbox lub "sandbox": {"enabled": true} w ~/.claude/settings.json) i dodaj blok credentials, który uniemożliwi odczyt ~/.ssh i ~/.aws/credentials.
2. Dodaj reguły permissions.deny blokujące odczyt plików z sekretami oraz niebezpieczne polecenia bash (curl, wget, sudo) — deny zawsze ma pierwszeństwo przed allow.
3. Nigdy nie uruchamiaj --dangerously-skip-permissions dla cudzego ani niezweryfikowanego kodu — wyłącza wszystkie zabezpieczenia naraz, w tym te, które mogłyby powstrzymać dokładnie takie ataki.
4. Nie pozwalaj Claude Code automatycznie wykonywać poleceń „naprawczych” z komunikatów o błędach — najpierw sprawdź, co faktycznie robią.
5. Instaluj serwery MCP tylko z zaufanych źródeł i pamiętaj, że Anthropic nie sprawdza ich bezpieczeństwa w twoim imieniu.
6. Rozdziel sesje według uprawnień: jedna pracuje z twoimi danymi osobistymi i nie widzi danych zewnętrznych; druga analizuje cudze e-maile, repozytoria i zgłoszenia, ale nie ma dostępu do sekretów; trzecia publikuje na zewnątrz — i tylko to, co osobiście zatwierdzisz. W swoich projektach ściśle tego przestrzegam: sesja mająca dostęp do kluczy płatniczych nigdy nie czyta dowolnych zewnętrznych zgłoszeń ani repozytoriów, a sesja analizująca cudzy kod w ogóle nie widzi sekretów. Nie mieszaj tych ról w jednym czacie.
7. Aktualizuj Claude Code i połączone skrypty automatyzujące — większość omówionych luk została już załatana w chwili publikacji tego przewodnika, a nowe są naprawiane w podobny sposób.

Co dalej#

Żadna z tych warstw nie daje gwarancji — sam Anthropic uczciwie przyznaje, że żadne zabezpieczenie nie zapewnia pełnej odporności. Nie oczekuję, że Claude Code sam rozpozna podstęp w komunikacie o błędzie lub komentarzu do zgłoszenia. Piaskownica i permissions.deny są dla mnie częścią zarządzania kontekstem projektu: tym, co agent widzi, czemu domyślnie ufa i co się dzieje, gdy popełni błąd.

Jeśli potrzebujesz dostępu do sieci neuronowych przez Ailoot, zajrzyj na Ailoot.