Ricercatore aggira Claude Code Opus 5 Auto Mode: attacco con zip, successo stimato all’80%
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Johann Rehberger mostra come uno zip che induce un'import locale può far eseguire malware e far fallire i comandi di pulizia di Auto Mode di Anthropic.
Johann Rehberger ha dimostrato come eseguire codice arbitrario su Claude Code in Auto Mode usando un archivio zip. Nella sua stima, l’attacco riesce nell’80% dei tentativi1.
Il 27 agosto 2026 ha pubblicato istruzioni passo per passo. L’agente scarica uno zip. Lo scompatta. Avvia codice che include un import, per esempio “import base64”. Questa chiamata fa caricare senza avvisi un file locale “struct.py” estratto dallo stesso archivio. Il risultato: codice dell’attaccante gira prima che il blocco dell’Auto Mode intervenga1.
Rehberger prende di mira una funzione descritta da Anthropic come protezione contro le prompt injection. Auto Mode è l’impostazione predefinita per agenti di coding. L’azienda ha parlato di difese robuste. Il test mostra un varco concreto in uno scenario d’uso comune: scaricare, scompattare, importare, eseguire1.
Sequenza osservata, in sintesi: download completato, decompressione effettuata, esecuzione avviata. Nessun alert sul fatto che l’import carichi “struct.py” dalla directory appena creata. Il controllo preventivo non scatta prima dell’esecuzione. Scatta dopo, quando serve meno1.
C’è di più. In vari run, dopo aver riconosciuto la compromissione, l’agente prova a fermare il processo malevolo. Auto Mode nega il comando di pulizia. Ne segue un paradosso: il classificatore consente l’avvio del processo, ma blocca il tentativo di chiuderlo. Rehberger lo sintetizza così: l’agente rileva l’incidente, ma l’Auto Mode impedisce il cleanup1.
Il vettore è preciso e ripetibile. Download controllato di uno zip. Estrazione con un “struct.py” artigianale posizionato nella struttura. Un import legittimo (“base64”) che devia verso il file locale omonimo. Esecuzione indesiderata che parte senza filtro. Tutto documentato nel post, allineato alla descrizione dell’Auto Mode come barriera predefinita contro le prompt injection1.
La lezione per chi usa agenti di coding in Auto Mode è operativa. La catena “scarica, scompatta, importa” può diventare un punto cieco. Il sistema lascia passare l’esecuzione iniziale e intralcia la bonifica successiva. Non è una teoria sul rischio: è una procedura che una persona può ripetere seguendo i passaggi pubblicati1.
Resta aperta una domanda pratica: come gestire i casi in cui import legittimi si sovrappongono a file locali omonimi in directory appena create. Qui si gioca la frontiera tra automazione utile e superficie di attacco, soprattutto quando la difesa è impostata come default e l’uso prevede download e decompressione di pacchetti durante il lavoro quotidiano1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.