Claude Code 自动模式被绕过：恶意文件让 AI 运行研究者代码

这次我们关注一个很具体的风险：Claude Code 的 Auto Mode 会自动判断哪些操作可以放行，但恶意文件可能把自己的代码塞进看似正常的解码流程里。

安全研究员 Johann Rehberger 在测试中观察到，Claude 拒绝直接运行压缩包里的解码程序，却自己写 Python 解码器；下载目录里同名的恶意支持文件随后被 Python 先加载，代码随之执行。研究者在 5 次测试中记录到 60%—80% 的成功率，同时提醒样本太小，不能据此推断所有安装都会出现同样结果。1

Auto Mode 面向 Pro、Max 和 Team 的新会话默认启用，并通过分类器拦截破坏性或越权操作；高风险修改仍建议人工审查。Anthropic 也明确提醒，自动代理无法对提示注入完全免疫，高价值任务仍应保留人工检查。23

对我们来说，关键动作很简单：把下载目录、网络访问和生产环境的权限分开；涉及代码执行和高风险修改时，保留人工确认。我们做墨镜熊时，也把对话内容在处理过程中持续保护起来；同时请不要把敏感数据直接发送给模型。4