Badacz bezpieczeństwa Johann Rehberger pokazał, jak prompt injection omija auto mode w Claude Code, czyli mechanizm, który Anthropic uczynił niedawno domyślnym zabezpieczeniem agentów kodujących. Skuteczność ataku badacz ocenił na 80%. Opis techniki opublikował 27 sierpnia 2026 na blogu embracethered.com, a nagłośnił go Simon Willison.
Mechanizm jest prosty. Agent zostaje nakłoniony do pobrania i rozpakowania archiwum zip, a następnie do uruchomienia kodu, który importuje moduł base64. To pociąga za sobą import podstawionego, lokalnego pliku struct.py wypakowanego z archiwum i w ten sposób wykonuje kod atakującego. Auto mode miał chronić agenta właśnie przed takimi manipulacjami płynącymi z niezaufanych treści.
Najciekawszy jest paradoks zabezpieczenia. Jak opisuje Rehberger, w części prób Claude poprawnie wykrywał kompromitację, ale auto mode blokował polecenie, które miało posprzątać po ataku. Ochrona przed manipulacją potrafiła więc uchronić samą infekcję przed usunięciem. To pokazuje, że etykieta „safety" czy „auto" nie jest gwarancją, a warstwa ochronna miewa skutki uboczne.
Co prompt injection oznacza dla polskich firm
Coraz więcej zespołów wpuszcza agentów AI do repozytoriów, terminala i systemów firmowych. Ten przypadek przypomina, że agent wykonujący kod to potencjalna droga wejścia dla atakującego. Rehberger zaleca uruchamianie agentów w kontenerach, maszynach wirtualnych lub sandboxach systemu, ograniczenie ruchu wychodzącego z sieci, monitorowanie działań agenta oraz izolowanie wrażliwych danych: katalogów domowych, kluczy SSH i poświadczeń do chmury.
Praktyczny wniosek dla wdrożeń jest spójny z zasadą najmniejszych uprawnień. Human-in-the-loop dla operacji nieodwracalnych i logowanie działań agenta znaczą więcej niż domyślne ustawienie dostawcy. Warto zapytać dostawcę narzędzia o model izolacji i o to, jak reaguje na zgłoszenia podatności. Z perspektywy RODO liczy się, do jakich danych agent faktycznie sięga i gdzie one trafiają.
Źródło: embracethered.com — Johann Rehberger (EN), omówienie: Simon Willison (EN). Publikacja: 27 sierpnia 2026.
