Claude Code Auto Mode bị vượt qua bằng module shadowing

Auto Mode và con số 0,00%

Từ giữa tháng 8, Auto Mode trở thành chế độ khởi động mặc định của Claude Code. Thay vì hỏi người dùng phê duyệt từng thao tác, chế độ này dùng một safety classifier để quyết định lệnh nào được chạy.

Một đánh giá bên thứ ba do Anthropic đặt hàng đã thử 72 kịch bản indirect prompt injection, mỗi kịch bản 10 lần, và báo attack success rate 0,00% với Opus 5 trong Auto Mode. Bài thử nghiệm này đặt câu hỏi hẹp hơn: một chuỗi tấn công được thiết kế có chủ đích có thể khiến agent tự tạo và chạy code nguy hiểm hay không?

Chuỗi tấn công

Điểm vào chỉ là yêu cầu tóm tắt một website. Chuỗi khai thác diễn ra như sau:

1. Website trả HTTP 415 để Claude rời WebFetch và tự chuyển sang curl.
2. curl theo redirect và tải một file ZIP chứa các bản ghi đã encode, một binary decoder và file struct.py.
3. Claude từ chối chạy binary không tin cậy, rồi tự viết decoder Python để giải Base85, zlib và JSON.
4. Decoder chạy ngay trong thư mục giải nén do kẻ tấn công kiểm soát.
5. Khi base64 import struct, Python nạp file struct.py cục bộ thay cho module chuẩn.
6. File giả vẫn export API cần thiết để decoder tiếp tục chạy, đồng thời thực thi biểu thức đã obfuscate.
7. Payload mở một tiến trình Python isolated, tải native payload và tạo kết nối C2 thử nghiệm.

Mấu chốt là binary chỉ đóng vai trò mồi. Quyết định an toàn — không chạy binary và tự viết decoder — lại đẩy agent vào đường khai thác. Auto Mode nhìn thấy đoạn Python ngắn do Claude tạo, không nhìn thấy đầy đủ hiệu ứng qua nhiều bước import và tiến trình con.

Kết quả và giới hạn

Với mẫu nhỏ, biến thể C2 thành công 3/5 lần. Biến thể dùng claude -p để mở một Claude Code headless khác cũng thành công 3/5 lần; sau khi tinh chỉnh để ghi file ngoài workspace, tỷ lệ là 4/5.

Đây không phải benchmark tổng quát. Kết quả 60–80% của một chuỗi có chủ đích và con số 0,00% trên 72 kịch bản cố định có thể cùng đúng. Vấn đề là dùng một benchmark hữu hạn như thông điệp rằng prompt injection gần như đã được giải quyết.

Trong một số lần chạy, Claude phát hiện file độc hại sau khi payload đã chạy. Có lúc Auto Mode còn chặn chính lệnh dọn tiến trình malware, dù trước đó đã cho phép chuỗi tạo tiến trình.

Phản hồi và ý nghĩa với Dev

Anthropic đóng báo cáo ở mức Informative và giải thích rằng Auto Mode là classifier best-effort, không phải security guarantee. Ranh giới thật vẫn là isolation của hệ điều hành và kiểm soát network egress.

Nếu agent xử lý nội dung không tin cậy, approval UX không thay được các control bên dưới:

• Chạy agent trong container, VM hoặc OS sandbox.
• Hạn chế network egress theo nhu cầu tối thiểu.
• Không mount home directory, SSH key hoặc cloud credential vào môi trường agent.
• Theo dõi tiến trình và giữ kill switch ngoài quyền sửa của agent.
• Xem lệnh do model tự viết là code không tin cậy, kể cả khi model vừa từ chối một binary đáng ngờ.

Kết luận thực dụng: Auto Mode có thể giảm ma sát và giảm rủi ro so với chế độ bỏ qua toàn bộ permission, nhưng không phải security boundary.