Claude Code pode executar código malicioso após ser induzido a resumir um site

O Claude Code, ferramenta de programação baseada em inteligência artificial da Anthropic, pode ser induzido a executar código controlado por um invasor a partir de uma tarefa aparentemente simples: resumir o conteúdo de um site. A técnica foi demonstrada pelo pesquisador de segurança Johann Rehberger, conhecido como “wunderwuzzi”, e apresentou taxas de sucesso entre 60% e 80% nos testes realizados.

O ataque foi demonstrado com o Claude Code executando o modelo Opus 5 no Auto Mode, configuração que se tornou padrão em meados de agosto. A cadeia explora uma combinação de prompt injection, decisões autônomas do agente e um mecanismo conhecido como Python module shadowing para alcançar execução remota de código.

O cenário começa quando o usuário solicita ao Claude Code que resuma um site malicioso apresentado como um arquivo de registros de notebooks. O objetivo do invasor é fazer com que o agente utilize o comando curl para acessar o conteúdo, sem instruí-lo diretamente a fazer isso.

Inicialmente, o Claude tenta utilizar sua ferramenta WebFetch, mas o servidor responde com o erro HTTP 415, indicando um tipo de mídia não suportado. Diante da falha, o próprio agente decide acessar o endereço diretamente por meio de uma chamada Bash utilizando curl.

O servidor então responde com um redirecionamento HTTP 303 para um arquivo ZIP malicioso, que acaba sendo baixado pelo Claude. O pacote contém arquivos aparentemente legítimos, incluindo metadados, um README, sete registros JSON codificados com Base85/zlib e um binário para macOS chamado “decoder-darwin”. Entre eles também está um arquivo Python malicioso chamado “struct.py”.

As proteções do Claude impedem que o agente execute diretamente o decoder fornecido pelo site. Em vez disso, o modelo decide criar seu próprio programa para decodificar os registros. Segundo Rehberger, justamente essa decisão de segurança abre o caminho para a exploração.

O decoder criado pelo Claude importa o módulo “base64” do Python. A partir desse ponto, o ataque explora Python module shadowing, técnica na qual um arquivo local recebe o mesmo nome de um módulo legítimo da biblioteca padrão. Como o módulo base64 depende do módulo struct, o Python pode carregar o “struct.py” malicioso presente no diretório em vez da biblioteca legítima.

De acordo com o pesquisador, o código malicioso foi ofuscado para contornar as proteções do Claude e conseguiu iniciar outro processo Python responsável por baixar e executar um payload remoto. Na demonstração, o código estabelece uma comunicação de comando e controle e abre a calculadora do sistema, funcionando como prova de conceito para execução arbitrária de comandos.

Rehberger também demonstrou uma variante na qual o “struct.py” inicia uma segunda instância do Claude Code em modo headless por meio do comando “claude -p”. Nesse cenário, o prompt injection não apenas permite execução de código, mas cria outro agente de IA com seu próprio contexto e acesso a ferramentas.

Nos testes, esse segundo Claude realizou tarefas básicas de reconhecimento, incluindo comandos como “whoami”, “uname” e “id”, abriu a calculadora e escreveu arquivos no diretório pessoal do usuário. Segundo Rehberger, três variantes foram testadas cinco vezes cada, com taxas de sucesso entre 60% e 80%. O próprio pesquisador ressalta que a amostra é pequena e não deve ser interpretada como uma avaliação abrangente.

A Anthropic não respondeu ao pedido de comentário do The Register. Segundo Rehberger, porém, a empresa informou a ele que o comportamento estaria funcionando conforme projetado e que o Auto Mode é um recurso de conveniência baseado em um classificador de “melhor esforço”, e não uma garantia de segurança.

O pesquisador argumenta que classificadores desse tipo não foram projetados para bloquear cadeias sofisticadas de prompt injection compostas por várias ações que, isoladamente, parecem legítimas. Nesse contexto, controles tradicionais como isolamento do sistema operacional, sandboxing e restrições de tráfego de saída tornam-se barreiras importantes para limitar o impacto de agentes de IA comprometidos.