Begona repozitoriy Claude Code’ni qanday egallashi mumkin: 7 himoya qoidasi

Ailoot hujjatlari: API, kalitlar va sozlash.

Ishonchsiz matndan agent harakatigacha: to‘rtta hujjatlashtirilgan yo‘l#

Rasmiy atamasi — bilvosita prompt injection: zararli ko‘rsatma bevosita sizdan emas, agent topshiriqni bajarish davomida qayta ishlaydigan ma’lumotlardan keladi — begona README, xato xabari, GitHub izohi yoki tashqi xizmat javobi. Bu atamani shu xatboshidan keyin unutishingiz mumkin; bundan buyon sodda tilda tushuntiraman.

Quyida ko‘riladigan to‘rt tadqiqot misoli:

1. Zararsiz ko‘rinadigan repozitoriy qanday qilib teskari shellga aylanishi ko‘rsatildi.
2. Pull Request sarlavhasi bir vaqtning o‘zida uch xil AI agentini egallab olishi mumkinligi oshkor qilindi.
3. Agent haqiqiy xato hisoboti o‘rniga Sentry’dan soxta xato hisobotini qabul qilishi mumkinligi ko‘rsatildi.
4. MCP vositasi tavsifi ayrim sinov sharoitlarida agent xatti-harakatiga ta’sir qilishi ko‘rsatildi.

Zararsiz repozitoriyning README fayli qanday qilib teskari shellga aylanadi?#

0DIN’ning 2026-yil 25-iyundagi konsepsiya isboti quyidagi zanjirni ko‘rsatadi:

1. Siz oddiy ko‘rinadigan repozitoriyni klonlab, Claude Code’dan uni ishga tushirishni so‘raysiz.
2. Repozitoriy birinchi foydalanishda ataylab xato beradigan Python paketini yuklaydi.
3. Xato xabari muloyimlik bilan python3 -m axiom init “tuzatish” buyrug‘ini tavsiya qiladi.
4. init buyrug‘i setup.sh faylini ishga tushiradi.
5. Skript DNS TXT yozuvini so‘raydi (odatda domen haqidagi qaydlar uchun ishlatiladi, ammo bu maydonda istalgan matn bo‘lishi mumkin). Hujumchi u yerga base64 bilan kodlangan buyruqni joylaydi (istalgan ma’lumotni bo‘sh joy va maxsus belgilarsiz oddiy matnga aylantirish usuli) va uni to‘g‘ridan-to‘g‘ri bash’ga uzatadi.
6. DNS yozuvi qiymatini istalgan vaqtda o‘zgartirish mumkin — bu hujumchiga sizning foydalanuvchi ruxsatlaringiz va kompyuterdagi barcha maxfiy ma’lumotlarga kirish huquqi bilan interaktiv teskari shell beradi.

Bu misolda yakuniy yuklama ish vaqtida DNS orqali olinadi, shuning uchun faqat repozitoriy fayllarini skanerlash uni o‘tkazib yuborishi mumkin. Bu barcha skanerlar yoki ish vaqtidagi himoya vositalari ojiz degani emas: yuklangan mazmunni tekshirish, jarayonlarni kuzatish va tarmoqni cheklash zanjirni aniqlashi yoki to‘xtatishi mumkin. Konsepsiya isboti haqiqiy hodisalarning tarqalishini o‘lchamaydi.

Pull Request sarlavhasi uch xil AI agentini qanday egallab oldi?#

Quyidagi jadval tadqiqotchining o‘sha davrda qayd etgan hujum yo‘llari va ishlab chiqaruvchilar javoblarini umumlashtiradi. Bu har bir mijozning barcha joriy versiyalari tekshirilganini anglatmaydi:

Bu oshkor qilish davridagi birinchi va oxirgi hisobotlar orasida deyarli besh oy o‘tdi (Claude Code haqidagi birinchi hisobot 2025-yil 17-oktabrda, GitHub Copilot’dagi oxirgi xato tuzatishi esa 2026-yil 9-martda bo‘lgan). Jiddiylik bahosining o‘zgarishi va yumshatish choralari barcha yuklamalar uchun yo‘l to‘liq yopilganini isbotlamaydi. Konsepsiya isboti ko‘rsatilgan Claude yo‘lini hujjatlashtiradi; uni haqiqiy hisob ma’lumotlari bilan ishga tushirmang. Siz uchun muhim jihat — hujum usulining o‘zi: GitHub’dan tekshirilmagan ma’lumot agentga kiradi, agent buyruqlarni bajaradi, maxfiy ma’lumotlar esa o‘sha GitHub orqali sizib chiqadi — hujumchiga tashqi server kerak emas.

Usulni ko‘rish uchun ikkita tahlilning o‘zi kifoya: har bir yangi xulosani alohida tuzatish amaliy emas; bu turdagi zaifliklar har ikki haftada paydo bo‘ladi. CLAUDE.md va settings.json fayllarida xavfsizlik qoidalarini xotirada saqlash o‘rniga aniq yozib qo‘yish kontekst muhandisligining bir qismidir: ularni bir marta belgilang, shunda ular har bir yangi Claude Code seansida eslatmasiz avtomatik ishlaydi. Uch ustun birgalikda samara beradi: AI nusxasi + Ikkinchi Miya + Kontekst muhandisligi — bu uyg‘unlik Claude Code’ni hamma narsaga ishonadigan ijrochidan aniq qoidalarga ega agentga aylantiradi.

Soxta Sentry xato hisoboti agentingizni egallab olishi mumkinmi?#

Hujum uchun faqat Sentry DSN kaliti — ko‘plab loyihalar mijoz tomonidagi kodga bevosita kiritadigan ochiq identifikator — kerak:

Mexanizm oddiy: dasturchi agentdan Sentry’dagi ochiq xatolarni ko‘rib chiqishni so‘raydi; agent MCP serveri orqali ularni so‘raydi, haqiqiylariga aralashgan zararli hodisani oladi va unga joylangan buyruqni xatoni tuzatish bo‘yicha ishonchli ko‘rsatma deb qabul qiladi — chunki rasmiy jihatdan aynan shu vazifani bajarish so‘ralgan.

Tenet sinov muhitida ayrim himoya vositalari ogohlantirish bermaganini qayd etadi; bu hujum barcha muhitlarda izsiz kechishini anglatmaydi. Agent jurnallari, qurilma telemetriyasi va tarmoq qaydlari bajarilgan harakatlarni saqlashi mumkin. Zanjir tashqi telemetriya matnidan boshlanadi, uning natijasi esa amaldagi vositalar va ruxsatlarga bog‘liq.

Nega MCP vositasi tavsifi tizim prompti kabi xavfli?#

Microsoftning bayoni men bu mavzuda ko‘rgan eng aniq ifodadir:

Bu usul vositani zaharlash deb ataladi: beozor vosita tavsifiga yashirilgan ko‘rsatma agentni unga amal qilishga undaydi.

Ushbu sinov Claude 3.7 Sonnet uchun zaharlangan ko‘rsatmaga qarshilik 3% dan kam bo‘lganini qayd etadi. Bu ma’lum tajriba sharoitidagi natija bo‘lib, barcha joriy modellar yoki o‘rnatmalar uchun himoya darajasini bildirmaydi. Ko‘rsatmalarga yaxshi amal qiluvchi ayrim modellar shu sinovda zaharlangan metama’lumotlarga ko‘proq ergashgan; buni model kuchi bilan zaiflik o‘rtasidagi universal bog‘liqlik deb talqin qilib bo‘lmaydi.

Bu hujumlarda nima umumiy va aniqlash vositalari nimani o‘tkazib yuborishi mumkin?#

“Kod oddiy ko‘rinadi” degan kuzatuv butun harakatlar zanjiri xavfsizligini isbotlamaydi. Agentning imkoniyatlarini cheklash va taklif qilgan harakatlarini tekshirish bir-birini to‘ldiradi. Hujumni aniqlash va uning zarar doirasini cheklash turli vazifalardir.

Claude Code’da qanday himoyalar allaqachon bor — va nega ular yetarli emas?#

Anthropic bu muammoni yashirish o‘rniga hujjatlarida bevosita tan oladi:

Hujjatlarga ko‘ra, agent butun promptni shubhali ko‘rsatmalar bor-yo‘qligiga tekshiradi, curl va wget buyruqlarini avtomatik tasdiqlamaydi, veb kontentini asosiy kontekst oynasidan aralashib ketmasligi uchun alohida oynada saqlaydi, shuningdek yangi kod bazasida ilk marta ishga tushganda yoki yangi MCP serveriga ulanganda ishonchni tasdiqlashni talab qiladi.

Ammo Anthropic ochiq aytadigan qat’iy cheklov bor:

Agar siz Claude Code’ni “savol beraverishni bas qilishi” uchun jahlingiz chiqib --dangerously-skip-permissions bilan ishga tushirgan bo‘lsangiz, yuqorida muhokama qilingan to‘rtta hujumning aynan o‘zini to‘xtatishi mumkin bo‘lgan barcha mexanizmlarni o‘chirib qo‘ygansiz. Men Claude Code seans davomida o‘ninchi marta so‘raganida ham bu bayroqni o‘chiq qoldiraman — bu bezovta qiladi, ammo savollar “agent shubhali matnni o‘qidi” bilan “agent uni bajardi” orasidagi chegaradir. Dasturchi bo‘lmagan kishi uchun maqbul sozlama — standart ruxsat rejimi (default yoki acceptEdits) va yoqilgan sandbox: oddiy fayl tahrirlari qo‘shimcha savollarsiz bajariladi, terminal buyruqlari esa agent aldangan bo‘lsa ham sandboxdan jismonan chiqa olmaydi.

Sandbox rejimini qanday yoqish va sukut bo‘yicha ochiq qoladigan bo‘shliqni qanday yopish mumkin?#

Barcha loyihalarda doimiy yoqish uchun ~/.claude/settings.json fayliga bitta o‘zgartirish kiriting:

{
  "sandbox": { "enabled": true }
}

Sukut bo‘yicha sandbox ichidagi buyruqlar faqat loyiha ishchi katalogi va seansning vaqtinchalik katalogiga yozishi mumkin. Tarmoqqa kirish proksi orqali amalga oshadi — oldindan ruxsat berilgan domenlar yo‘q, Claude Code yangi domenga birinchi marta ulanganda tasdiq so‘raydi. Anthropic ta’kidlashicha, bu ruxsat so‘rovlarini keskin kamaytiradi — kompaniyaning ichki o‘lchovlarida 84% ga — chunki sandbox ayrim xavfsiz holatlarni har safar sizdan so‘ramay o‘zi boshqaradi.

Standart sozlamalar ochiq qoldiradigan bo‘shliq: sandbox sukut bo‘yicha yozishni cheklaydi, ammo ~/.aws/credentials va ~/.ssh kabi fayllarni o‘qishni to‘smaydi. Yuqoridagi tahlillarda aynan shu fayl va muhit o‘zgaruvchilari nishonga olingan. Shu faylning o‘zida alohida blok qo‘shib, bu bo‘shliqni yoping:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Mazmuni shuki, birinchi tahlildagi teskari shell sandbox ichida ochilsa ham, bu o‘zgaruvchilar va fayllar ishga tushishidan oldin jarayon muhitidan jismonan olib tashlanadi — o‘g‘irlashga hech narsa qolmaydi.

Bugunoq qaysi permissions.deny qoidalarini qo‘shish kerak?#

Dasturchi bo‘lmagan kishi uchun to‘rtta hujumning asosiy nishonlarini birdan qamrab oladigan minimal to‘plam:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Claude Code hujjatlariga ko‘ra, mos keladigan vosita so‘rovlarida deny qoidasi allow qoidasidan ustun. Bu maxfiy ma’lumotlar barcha boshqa vositalar yoki quyi jarayonlar uchun ham yetib bo‘lmas bo‘lib qolishini kafolatlamaydi. Himoyani amalda majburlanadigan fayl tizimi va bajarilish muhiti cheklovlari bilan mustahkamlang.

Claude Code’da auto rejimi ham bor; unda alohida tasniflagich modeli harakatlarni bajarilishidan oldin tekshiradi — bu siz bilan gaplashadigan modelning o‘zi emas. Sukut bo‘yicha u, jumladan, “kodni yuklab olib darhol ishga tushirish” usulini (curl | bash) bloklaydi. Anthropic bu tadqiqot rejimi ekanini, so‘rovlar sonini kamaytirishini, ammo o‘zi alohida xavfsizlikni kafolatlamasligini ochiq ogohlantiradi — uni sandbox va permissions.deny o‘rniga emas, qo‘shimcha qatlam sifatida ko‘ring.

Repozitoriy va MCP serverini agentingizga ishonishdan oldin qanday tekshirish kerak?#

Repozitoriylar uchun ularni agentga topshirishdan oldin qisqa tekshiruv ro‘yxati:

1. Notanish manbadan kelgan email, post yoki sharhdagi havoladan darhol o‘rnatishni boshlamang — bunday repozitoriylar aynan shu yo‘l bilan tarqatiladi.
2. O‘rnatishda “X buyrug‘ini ishga tushirib tuzating” degan ko‘rsatma bilan xato chiqsa, Claude Code’ga uni bajarishga ruxsat berishdan oldin X aslida nima qilishini o‘qing. Yuqoridagi tahlildagi ko‘rsatma mutlaqo odatiy ko‘ringan — gap ham shunda edi.
3. Repozitoriyning faqat yulduzlar sonini emas, yaratilgan vaqtini va commit tarixini ham tekshiring — bunday hujumlar uchun yangi repozitoriylarga ataylab soxta yulduzlar qo‘shilishi mumkin.
4. Repozitoriy notanish bo‘lsa, o‘rnatishni haqiqiy kalitlar saqlanadigan ish kompyuteringizda emas, virtual mashinada bajaring. Bu Anthropicning tashqi xizmatlar bilan ishlash bo‘yicha bevosita tavsiyasi.

Anthropicning MCP serverlari haqidagi pozitsiyasi ochiq bayon qilingan:

Demak, uchinchi tomon MCP serverlarini tekshirish sizning zimmangizda, ularni o‘rnatgan platformaning emas. Ayrim jamoalar — asosan xavfsizlik startaplari — buning uchun allaqachon vositalar yaratyapti: zaharlangan tavsiflarni izlaydigan MCP konfiguratsiya skanerlari va ilk o‘rnatishda tavsif xeshini saqlab, keyingi o‘zgarishlarni belgilaydigan vosita “pinlash” usuli. Bu texnologiyalar hali yangi, shuning uchun yagona himoya sifatida ularga tayanish erta — ammo ayniqsa MCP serverlarini ishlab chiqarish tizimlariga ulasangiz, kuzatishga arziydi. Bunday ulanishlarda har bir paket versiyasini pinlab, vosita tavsiflari barmoq izini audit jurnalida qayd etishingiz mumkin.

Himoya uchun 7 qoida: bugungi tekshiruv ro‘yxati#

1. Sandbox rejimini yoqing (/sandbox yoki ~/.claude/settings.json ichida "sandbox": {"enabled": true}) va ~/.ssh hamda ~/.aws/credentials fayllarini o‘qishni taqiqlaydigan credentials blokini qo‘shing.
2. Maxfiy fayllarni o‘qish va xavfli bash buyruqlari (curl, wget, sudo) uchun permissions.deny qoidalarini qo‘shing — deny har doim allow’dan ustun turadi.
3. Begona yoki tekshirilmagan kodni ishga tushirishda hech qachon --dangerously-skip-permissions dan foydalanmang — u barcha himoyalarni, jumladan aynan shu hujumlarni to‘xtatishi mumkin bo‘lganlarini ham birdan o‘chiradi.
4. Claude Code’ga xato xabaridagi “tuzatish” buyrug‘ini avtomatik ishga tushirishga yo‘l qo‘ymang — avval u aslida nima qilishini o‘qing.
5. MCP serverlarini faqat ishonchli manbalardan o‘rnating va Anthropic sizning nomingizdan ularning xavfsizligini tekshirmasligini unutmang.
6. Seanslarni ruxsatlar bo‘yicha ajrating: biri shaxsiy ma’lumotlaringiz bilan ishlaydi va tashqi ma’lumotlarni ko‘rmaydi; ikkinchisi boshqalarning email, repozitoriy va topshiriqlarini tekshiradi, ammo maxfiy ma’lumotlarga kira olmaydi; uchinchisi tashqariga faqat shaxsan ma’qullagan narsalaringizni chiqaradi. O‘z loyihalarimda bu qoidaga qat’iy amal qilaman: to‘lov kalitlariga kirishi bor seans ixtiyoriy tashqi topshiriqlar yoki repozitoriylarni hech qachon o‘qimaydi, boshqalarning kodini tahlil qiladigan seans esa maxfiy ma’lumotlarni umuman ko‘rmaydi. Bu rollarni bitta chatda aralashtirmang.
7. Claude Code va ulangan avtomatlashtirish skriptlarini yangilab turing — bu yerda muhokama qilingan bo‘shliqlarning aksariyati qo‘llanma e’lon qilinguniga qadar yamalar bilan allaqachon yopilgan edi, yangilari ham shunga o‘xshash tarzda tuzatiladi.

Keyingi qadam#

Bu qatlamlarning hech biri kafolat bermaydi — Anthropicning o‘zi ham hech qanday himoya to‘liq daxlsizlikni ta’minlamasligini ochiq aytadi. Claude Code xato xabari yoki issue izohidagi hiylani o‘zi tanib oladi deb kutmayman. Men uchun sandbox va permissions.deny loyiha kontekstini boshqarish usulimning bir qismi: agent nimani ko‘rishi, sukut bo‘yicha nimaga ishonishi va xato qilganda nima sodir bo‘lishi.

Agar Ailoot orqali neyron tarmoqlardan foydalanmoqchi bo‘lsangiz, Ailoot saytiga kiring.