Serangan prompt injection membalikkan auto mode Claude Code melawan dirinya

Johann Rehberger, peneliti prompt injection dengan rekam jejak panjang, punya sebuah serangan terhadap auto mode Claude Code yang berhasil sekitar 80% dari percobaan, dan Simon Willison menyorot bagian paling mengganggu darinya. Skenarionya trik input klasik: agen diarahkan untuk mengunduh dan mengekstrak arsip zip yang berisi struct.py jahat. Karena cara sistem import Python menyelesaikan modul, ketika agen kemudian meng-import base64, yang tereksekusi justru berkas lokal milik penyerang, dan payload pun berjalan.

Bagian keduanya yang membuat ini lebih dari sekadar eksploit biasa. Claude sebenarnya mendeteksi bahwa sistem sudah disusupi dan mencoba menghentikan proses jahat itu, tapi classifier keamanan milik auto mode justru memblokir perintah pembersihannya. Classifier tadi mengizinkan proses dibuat, lalu menolak perintah yang akan menghentikannya. Jadi pengaman yang seharusnya menjaga agen malah melindungi malware dari upaya pemulihan modelnya sendiri. Saran Rehberger sama dengan batas tegas yang terus muncul: jalankan coding agent tanpa pengawasan di dalam container atau VM, putus akses jaringannya, pantau perilakunya, dan jauhkan SSH key serta kredensial cloud sepenuhnya dari runtime agen.

Kenapa ini penting

Kalau kamu membiarkan coding agent berjalan tanpa pengawasan dengan izin nyata, ini adalah mode kegagalan konkret yang harus diantisipasi: model mungkin cukup pintar untuk menyadari dirinya sudah disusupi, tapi tetap tak mampu memperbaikinya. Sandboxing dan isolasi kredensial bukan pengerasan opsional di sini, itulah pembeda antara insiden yang tertahan dan insiden yang sampai ke kunci-kunci kamu.