Kho mã của người khác có thể chiếm quyền Claude Code thế nào: 7 quy tắc bảo vệ

Tài liệu Ailoot: API, khóa và thiết lập.

Bốn đường có tài liệu từ văn bản không tin cậy tới hành động tác nhân#

Tên gọi chính thức của việc này là indirect prompt injection: chỉ dẫn độc hại không đến trực tiếp từ bạn mà thông qua dữ liệu agent xử lý khi thực hiện một tác vụ—README từ bên ngoài, thông báo lỗi, bình luận trên GitHub hoặc phản hồi từ một dịch vụ bên ngoài. Bạn có thể quên thuật ngữ này ngay sau đoạn văn; từ đây trở đi, tôi sẽ dùng ngôn ngữ đơn giản.

Bốn ví dụ nghiên cứu được bàn dưới:

1. Một repository trông vô hại có thể biến thành reverse shell.
2. Tiêu đề một Pull Request có thể chiếm quyền ba AI agent khác nhau cùng lúc.
3. Agent có thể nhận báo cáo lỗi Sentry giả thay vì báo cáo thật.
4. Metadata công cụ MCP có thể chứa chỉ dẫn ảnh hưởng hành vi tác nhân.

README của một repository trông vô hại biến thành reverse shell như thế nào?#

Cơ chế được thiết kế sao cho không lớp riêng lẻ nào trông đáng ngờ:

1. Bạn clone một repository trông bình thường và yêu cầu Claude Code chạy nó.
2. Repository cài một gói Python được thiết kế để lỗi trong lần sử dụng đầu tiên.
3. Thông báo lỗi lịch sự đề xuất lệnh “sửa lỗi”: python3 -m axiom init.
4. Lệnh init chạy setup.sh.
5. Script truy vấn một bản ghi DNS TXT (thường dùng để ghi chú liên quan đến tên miền, nhưng trường này chấp nhận văn bản bất kỳ). Kẻ tấn công đặt vào đó một lệnh mã hóa base64 (cách chuyển dữ liệu thành văn bản thuần không có dấu cách hoặc ký tự đặc biệt), rồi chuyển thẳng lệnh đó vào bash.
6. Giá trị của bản ghi DNS có thể được thay đổi bất cứ lúc nào—giúp kẻ tấn công có reverse shell tương tác với quyền người dùng của bạn và quyền truy cập vào mọi bí mật trên máy.

Payload minh họa được lấy từ DNS lúc chạy nên chỉ quét byte kho không thấy payload cuối. Không chứng minh mọi scanner hay runtime control bất lực: xem nội dung lấy về, theo tiến trình, hạn chế mạng có thể lộ hoặc ngắt chuỗi. Nguồn là PoC, không đo mức phổ biến sự cố thực.

Tiêu đề Pull Request đã chiếm quyền ba AI agent khác nhau như thế nào?#

Nhà nghiên cứu mô tả đường và phản hồi này; đây là báo cáo lịch sử, không xác minh mọi phiên bản sản phẩm hiện tại:

Gần năm tháng trôi qua giữa báo cáo đầu tiên và cuối cùng trong chu kỳ công bố này (báo cáo Claude Code đầu tiên vào ngày 17 tháng 10 năm 2025; bản sửa lỗi GitHub Copilot cuối cùng vào ngày 9 tháng 3 năm 2026). Đổi mức nghiêm trọng và giảm thiểu trong báo cáo chưa xác lập đóng hoàn toàn mọi payload. Kho PoC của nhà nghiên cứu ghi đường Claude minh họa; không chạy payload tấn công trên hệ thống thật. Giá trị dành cho bạn nằm ở mẫu tấn công: dữ liệu chưa được xác minh từ GitHub đi vào agent, agent chạy lệnh và bí mật rò rỉ qua chính GitHub đó—kẻ tấn công không cần máy chủ bên ngoài.

Chỉ cần hai phân tích là đủ để thấy mẫu hình này: không thể khắc phục từng phát hiện mới riêng lẻ; các lỗ hổng kiểu này xuất hiện hai tuần một lần. Viết rõ quy tắc bảo mật trong CLAUDE.md và settings.json thay vì giữ chúng trong đầu là một phần của context engineering: thiết lập một lần, chúng tự động có hiệu lực trong mỗi phiên Claude Code mới mà không cần nhắc lại.

Báo cáo lỗi Sentry giả có thể chiếm quyền agent của bạn không?#

Cuộc tấn công chỉ cần một khóa DSN của Sentry—một mã định danh công khai mà nhiều dự án đưa thẳng vào mã phía máy khách:

Cơ chế rất đơn giản: nhà phát triển yêu cầu agent xem các lỗi Sentry đang mở; agent yêu cầu dữ liệu qua máy chủ MCP, nhận một sự kiện độc hại trộn lẫn với sự kiện thật và đọc lệnh được nhúng trong đó như chỉ dẫn đáng tin cậy để sửa lỗi—vì xét về hình thức, đó chính xác là việc agent được yêu cầu làm.

Tenet báo kiểm soát có sẵn không cảnh báo ở môi trường thử. Không xác lập thực thi vô dấu mọi deployment: log agent/công cụ, endpoint telemetry và bản ghi mạng có thể ghi hành động sau. Tấn công bắt đầu qua telemetry gửi ngoài, rồi tùy công cụ và quyền thực của agent.

Metadata công cụ MCP có thể ảnh hưởng mô hình thế nào?#

Cách diễn đạt của Microsoft là chính xác nhất tôi tìm được về chủ đề này:

Kỹ thuật này được gọi là tool poisoning: một chỉ dẫn ẩn trong mô tả của công cụ vô hại khiến agent hành động theo chỉ dẫn đó.

Trong phép thử MCPTox được dẫn, Claude 3.7 Sonnet có sức chống chịu tốt nhất nhưng tỷ lệ từ chối chỉ dẫn đầu độc vẫn dưới 3%. Kết quả thuộc các mô hình và setup của benchmark; không chứng minh mọi mô hình theo chỉ dẫn tốt hơn đều kém phân biệt metadata độc. Phải xét quyền công cụ và môi trường định dùng.

Các đường tấn công có gì chung và phát hiện có thể bỏ gì?#

Kết luận áp dụng cho cả bốn phát hiện: không thể dựa vào việc “mã trông bình thường”—từng bước riêng lẻ trong một cuộc tấn công quả thực đều vô hại. Giới hạn khả năng thực và xem hành động tác nhân đề xuất; phát hiện và chứa chặn xử lý phần khác nhau của tấn công.

Claude Code đã có những biện pháp bảo vệ nào—và vì sao chúng vẫn chưa đủ?#

Anthropic thừa nhận trực tiếp vấn đề trong tài liệu của mình, thay vì che giấu:

Theo tài liệu, agent phân tích toàn bộ prompt để tìm chỉ dẫn đáng ngờ, không tự động phê duyệt curl và wget, giữ nội dung web trong context window riêng để không trộn với ngữ cảnh chính, đồng thời yêu cầu xác nhận độ tin cậy khi lần đầu chạy trong codebase mới hoặc kết nối máy chủ MCP mới.

Nhưng Anthropic nêu thẳng một lưu ý nghiêm trọng:

Nếu bạn từng khởi chạy Claude Code với --dangerously-skip-permissions vì bực mình, muốn nó “đừng hỏi mãi nữa”, thì đó là lúc bạn tắt mọi cơ chế có thể ngăn chính xác bốn cuộc tấn công đã bàn ở trên. Tôi cố tình để flag này tắt, ngay cả khi Claude Code hỏi lại đến lần thứ mười trong một phiên—điều đó thật phiền, nhưng những câu hỏi này là ranh giới giữa “agent đã đọc văn bản đáng ngờ” và “agent đã thực thi nó”. Thiết lập hợp lý cho người không phải lập trình viên là chế độ quyền tiêu chuẩn (default hoặc acceptEdits) cùng sandbox được bật: các chỉnh sửa tệp thông thường diễn ra mà không cần hỏi thêm, còn lệnh terminal không thể thoát khỏi sandbox, ngay cả khi agent đã bị lừa.

Bật chế độ sandbox và khắc phục lỗ hổng mà nó mặc định để ngỏ như thế nào?#

Để bật vĩnh viễn cho tất cả dự án, hãy thay đổi một mục trong ~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

Theo mặc định, các lệnh trong sandbox chỉ có thể ghi vào thư mục làm việc của dự án và thư mục tạm của phiên. Truy cập mạng đi qua proxy—không có tên miền nào được cho phép trước, và Claude Code sẽ yêu cầu xác nhận khi lần đầu liên hệ một tên miền mới. Anthropic cho biết cách này giảm đáng kể số lời nhắc xin quyền—84% theo số liệu đo nội bộ của công ty—vì sandbox tự xử lý một số trường hợp an toàn thay vì hỏi bạn mỗi lần.

Lỗ hổng mà thiết lập tiêu chuẩn để ngỏ: mặc định sandbox giới hạn ghi, nhưng không ngăn đọc các tệp như ~/.aws/credentials và ~/.ssh. Đóng lỗ hổng này bằng một khối riêng trong cùng tệp:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Điểm mấu chốt là ngay cả khi reverse shell từ phân tích đầu tiên mở bên trong sandbox, các biến và tệp này cũng bị loại khỏi môi trường của tiến trình trước khi tiến trình khởi chạy—không còn gì để đánh cắp.

Nên thêm quy tắc permissions.deny nào ngay hôm nay?#

Bộ quy tắc tối thiểu dành cho người không phải lập trình viên, cùng lúc bao quát các mục tiêu chính của cả bốn cuộc tấn công:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

Theo tài liệu Claude Code, quy tắc deny luôn được ưu tiên hơn quy tắc allow. Vì vậy, ngay cả khi bạn (hoặc chính agent) vô tình cho phép quyền truy cập rộng hơn ở nơi khác, một quy tắc deny cụ thể vẫn có hiệu lực trước. Ưu tiên quy tắc áp cho yêu cầu công cụ khớp, không chứng minh bí mật không tới được qua mọi subprocess hoặc công cụ; dùng hạn chế hệ thống tệp và môi trường cưỡng chế nữa.

Claude Code cũng có chế độ auto, trong đó một mô hình phân loại riêng kiểm tra hành động trước khi chúng được thực hiện—đó không phải mô hình trò chuyện với bạn. Theo mặc định, chế độ này chặn, trong số những thứ khác, chính xác kiểu “tải mã xuống rồi thực thi ngay” (curl | bash). Anthropic cảnh báo rõ rằng đây là chế độ nghiên cứu giúp giảm số lời nhắc nhưng tự nó không đảm bảo an toàn—hãy xem đây là lớp bổ sung, không phải vật thay thế cho sandbox và permissions.deny.

Kiểm tra repository và máy chủ MCP trước khi tin cậy chúng với agent như thế nào?#

Với repository, đây là danh sách kiểm tra ngắn trước khi giao cho agent:

1. Đừng cài đặt ngay từ liên kết trong email, bài đăng hoặc bài đánh giá từ nguồn lạ.
2. Nếu quá trình cài đặt xuất hiện lỗi kèm chỉ dẫn “chạy lệnh X để sửa”, hãy đọc xem X thực sự làm gì trước khi cho phép Claude Code chạy. Chỉ dẫn trong phân tích ở trên trông hoàn toàn bình thường—đó chính là mục đích.
3. Kiểm tra tuổi đời repository và lịch sử commit, không chỉ số sao—repository mới tạo có thể dễ dàng được tăng sao giả để phục vụ kiểu tấn công này.
4. Nếu repository xa lạ, hãy cài đặt trong máy ảo, không phải trên máy làm việc có các khóa thật. Đây là khuyến nghị trực tiếp của chính Anthropic khi làm việc với dịch vụ bên ngoài.

Lập trường của Anthropic về máy chủ MCP được nêu công khai:

Điều đó có nghĩa bạn chịu trách nhiệm kiểm tra máy chủ MCP bên thứ ba, chứ không phải nền tảng nơi bạn cài đặt chúng. Một số nhóm—chủ yếu là startup bảo mật—đang xây dựng công cụ cho việc này: trình quét cấu hình MCP tìm mô tả bị đầu độc và tính năng “pinning” công cụ, lưu hash mô tả khi cài đặt lần đầu rồi cảnh báo nếu mô tả thay đổi sau đó. Những công nghệ này còn mới, nên chưa thể dựa vào chúng làm lớp bảo vệ duy nhất—nhưng đáng để theo dõi, nhất là khi bạn kết nối máy chủ MCP với môi trường production. Với những kết nối đó, bạn có thể pin từng phiên bản gói và ghi dấu vân tay của mô tả công cụ vào audit log.

7 quy tắc bảo vệ: danh sách kiểm tra hôm nay#

1. Bật chế độ sandbox (/sandbox hoặc "sandbox": {"enabled": true} trong ~/.claude/settings.json) và thêm khối credentials để ngăn đọc ~/.ssh và ~/.aws/credentials.
2. Thêm quy tắc permissions.deny để chặn việc đọc tệp bí mật và các lệnh bash nguy hiểm (curl, wget, sudo)—deny luôn ghi đè allow.
3. Tuyệt đối không chạy --dangerously-skip-permissions trên mã từ bên ngoài hoặc chưa được xác minh—flag này tắt mọi biện pháp bảo vệ cùng lúc, kể cả những biện pháp có thể đã ngăn chính các cuộc tấn công này.
4. Đừng để Claude Code tự động chạy lệnh “sửa lỗi” trong thông báo lỗi—trước tiên hãy đọc xem lệnh thực sự làm gì.
5. Chỉ cài đặt máy chủ MCP từ các nguồn bạn tin tưởng và nhớ rằng Anthropic không kiểm tra bảo mật chúng thay bạn.
6. Tách các phiên theo quyền: một phiên làm việc với dữ liệu cá nhân và không thấy dữ liệu bên ngoài; phiên thứ hai kiểm tra email, repository và ticket của người khác nhưng không thể truy cập bí mật; phiên thứ ba xuất bản ra bên ngoài—và chỉ xuất bản nội dung bạn đã đích thân phê duyệt. Trong dự án của mình, tôi luôn giữ ranh giới này nghiêm ngặt: phiên có quyền truy cập khóa thanh toán không bao giờ đọc ticket hoặc repository bên ngoài tùy tiện, còn phiên phân tích mã của người khác thì hoàn toàn không thấy bí mật. Đừng trộn lẫn các vai trò này trong một cuộc trò chuyện.
7. Luôn cập nhật Claude Code và các script tự động hóa được kết nối—phần lớn lỗ hổng được bàn đến ở đây đã được vá khi hướng dẫn này xuất bản, và lỗ hổng mới cũng được khắc phục theo cách tương tự.

Tiếp theo là gì#

Không lớp nào trong số này đảm bảo an toàn tuyệt đối—chính Anthropic cũng thẳng thắn nói rằng không có biện pháp bảo vệ nào miễn nhiễm hoàn toàn. Tôi không mong Claude Code tự nhận ra thủ thuật trong thông báo lỗi hoặc bình luận issue. Với tôi, sandbox và permissions.deny là một phần trong cách quản lý ngữ cảnh dự án: agent nhìn thấy gì, mặc định tin điều gì và chuyện gì xảy ra khi nó mắc lỗi.

Nếu cần truy cập các mạng nơ-ron thông qua Ailoot, hãy xem Ailoot.