Pesquisador quebra o Auto Mode do Claude Code em 80% das tentativas

O que está em jogo

A Anthropic deposita grande confiança no modo automático (auto mode) do Claude Code para proteger usuários de agentes de programação contra ataques de injeção de prompt. A empresa tornou esse modo o padrão e fez afirmações ousadas sobre sua eficácia. Um dos pesquisadores de injeção de prompt mais respeitados da atualidade, Johann Rehberger, encontrou um ataque que, segundo ele, funciona em cerca de 80% das tentativas.

Como o ataque funciona

A técnica consiste em enganar o Claude Code para que ele baixe e descompacte um arquivo ZIP e, em seguida, execute código que importa base64 — sem perceber que isso vai importar e executar um arquivo local struct.py extraído do próprio arquivo. Ou seja, o agente é induzido a carregar e rodar código malicioso embutido no conteúdo que ele mesmo baixou.

O ponto mais preocupante, registrado pelo pesquisador Simon Willison, é que em alguns casos o próprio modo automático impediu o agente de interromper o código malicioso. Em algumas execuções, o Claude tentou encerrar o processo de malware assim que notou o comprometimento — mas o Auto Mode negou o comando de limpeza. Em outras palavras, o mecanismo de segurança se tornou parte da falha: o classificador permitiu a criação do processo malicioso e, na sequência, bloqueou o comando que o interromperia.

Por que isso importa

O episódio ilustra um risco real para quem usa agentes de codificação de forma autônoma. Se um agente processa instruções vindas de fontes não confiáveis — issues de repositórios, e-mails, páginas web ou qualquer conteúdo que um atacante possa influenciar — ele pode ser alvo de injeção de prompt. Quando o próprio sistema de segurança interfere na capacidade de correção, o estrago potencial aumenta.

A recomendação de segurança

Diante do achado, a conclusão dos pesquisadores é direta: a única forma segura de rodar agentes quando existe qualquer risco de atrair a atenção de um ataque adversário é usar um sandbox. Na prática, isso significa:

• Executar agentes de codificação não supervisionados em container, VM ou sandbox de sistema operacional.
• Restringir o tráfego de rede de saída (egress) do agente.
• Monitorar os agentes em tempo real.
• Não expor diretórios pessoais, chaves SSH, credenciais de nuvem e outros segredos ao runtime do agente.

O caso reforça que isolamento de execução continua sendo a defesa mais confiável contra injeção de prompt em agentes — mais do que confiar apenas em filtros de segurança no modelo.