Hacker Newsに投稿された検証結果によると、Claude CodeのAuto Modeにおいて、間接プロンプトインジェクションによるコード実行の脆弱性が指摘されています。
Auto Modeは、8月中旬からClaude Codeのデフォルト設定となっています。このモードでは、人間の承認を介さず、セーフティ分類器によって安全性を判断する仕組みが導入されています。
Anthropic社は、外部ベンダーのTrajectory Labsに依頼した評価において、72のシナリオでOpus 5の攻撃成功率は0.00%であったと発表しています。しかし、今回の検証では、特定の攻撃チェーンを用いることで、小規模なサンプルサイズながら60%から80%の成功率を記録しました。
具体的な攻撃プロセスでは、まずユーザーがWebサイトの要約を依頼します。攻撃対象のサーバーは、WebFetchツールによるアクセスを拒否するように設定されており、Claudeが自律的にBashツールとcurlを使用してZIPアーカイブをダウンロードするよう誘導します。
ZIP内には、特定のフォーマットでエンコードされたデータが含まれています。Claudeはバイナリファイルの実行を回避するものの、データのデコードプロセスを通じて、攻撃者の意図した操作へと誘導されることが示されました。
検証者は、モデルの誤整列やプロンプトインジェクションのリスクを考慮する場合、Auto Modeだけで十分ではなく、エージェントを隔離された環境で実行し、動作を監視することが不可欠であると述べています。
出典: Breaking Claude Code Opus 5 Auto Mode（Hacker News Frontpage、2026-08-31）