Claude Code : une attaque contourne le classifieur du mode Auto

Contexte

Depuis la mi-août, le mode Auto est le mode de démarrage par défaut de Claude Code. Il remplace les demandes d’approbation humaine par un classifieur chargé d’autoriser ou de bloquer les actions de l’agent.

Selon Embrace the Red, une évaluation tierce commandée par Anthropic avait mesuré un taux de réussite de 0,00 % pour les injections de prompt visant Claude Code Opus 5 en mode Auto. Le chercheur en sécurité Johann Rehberger a testé ce mécanisme à partir d’une demande de résumé d’un site web contenant des instructions adversariales.

Ce qui change

Rehberger rapporte une chaîne d’attaque réussissant dans 60 à 80 % des essais, tout en précisant que l’échantillon est limité. L’agent est amené à télécharger puis décompresser une archive, avant d’exécuter du code important le module Python base64. Cette opération charge alors un fichier local struct.py extrait de l’archive, ce qui conduit à l’exécution de code.

Simon Willison relève également un comportement problématique pendant certaines exécutions : ** Claude détecte la compromission et tente d’arrêter le processus malveillant, mais le mode Auto bloque la commande de nettoyage **. Le mécanisme avait donc autorisé la création du processus avant de refuser l’action destinée à l’interrompre.

Pourquoi c'est important

Les résultats publiés se contredisent explicitement : l’évaluation commandée par Anthropic indique 0,00 % de réussite, tandis que Rehberger observe 60 à 80 % sur son propre test. Les sources fournies ne permettent pas de comparer les protocoles ni de déterminer si les scénarios évalués étaient équivalents. La taille réduite de l’échantillon invite aussi à ne pas généraliser ce taux.

L’épisode montre néanmoins qu’un classifieur d’autorisation ne constitue pas, à lui seul, une frontière d’isolation. Willison reprend les recommandations de Rehberger : exécuter les agents autonomes dans un conteneur, une machine virtuelle ou un bac à sable du système d’exploitation, restreindre les sorties réseau, surveiller leur activité et ne pas exposer les répertoires personnels, clés SSH ou identifiants cloud à leur environnement d’exécution.