Claude Code Auto Mode 安全漏洞實測：官方 0%、研究者打到 80%
一句「幫我摘要這個網站」，就能讓 Claude Code 的 Auto Mode 執行攻擊者的程式碼。
全程沒有人按下確認，小樣本實測成功率 60–80%。
事件公開於 2026 年 8 月 26 日，Embrace The Red 部落格作者 wunderwuzzi 貼出完整攻擊鏈（原文）。本文發稿於 2026 年 9 月 1 日，距離公開六天。這件事值得台灣老闆花十分鐘看懂，因為你們正在把「自動模式」交給 AI 去跑指令。
Claude Code 的 Auto Mode 到底出了什麼事？
研究者用一條多階段攻擊鏈，讓 Claude Code Opus 5 在 Auto Mode 下從「摘要一個網站」一路走到執行攻擊者控制的程式碼，小樣本實測攻擊成功率最高達 80%。同一個模式，Anthropic 委託的第三方評測給出的數字是 0.00%。
先把術語講白。提示注入（prompt injection），指攻擊者把指令藏在 AI 會讀到的內容裡——網頁、檔案、郵件——讓 AI 把外部內容當成使用者的指示來執行。間接提示注入是其中最難防的一種：這種指令由 AI 在幫你辦事的途中自己撿回來，你從頭到尾沒打過一個字。這類風險早已被列入 OWASP LLM Top 10 名單（產業公開清單，非本次事件的一手來源），不是新概念。
新的地方在於代價。過去 Agent 被注入，最多是講錯話、寫錯摘要。現在 Agent 手上有終端機，被注入的結果是在你的機器上執行程式碼。
研究者自己把結論放在文章最前面：如果你在意錯位行為、幻覺與提示注入，Auto Mode 無法取代「把 Agent 跑在隔離環境並持續監看」這件事。這句話是整起事件的重點。
什麼是 Auto Mode？它把哪一關拿掉了？
Auto Mode 用一個安全分類器取代人工確認提示。依研究者說明，自 2026 年 8 月中起，它是 Claude Code 的預設啟動模式。原本每次要寫檔案、跑指令都會停下來等你按同意，現在改由模型判斷該不該放行。
差別在誰負責攔截。人工確認的攔截點是你的眼睛：指令跳出來，你看一眼，覺得怪就拒絕。安全分類器的攔截點是另一個模型的判斷，它快得多、也累不倒，但它跟被攻擊的模型一樣，讀的是攻擊者可以操控的文字。
Anthropic 方面的說法是分層防禦。Boris Cherny 表示，透過模型訓練、輸入探針、意圖分類器這三層，能把未見過（unseen）的間接提示注入壓到趨近於零。為了驗證，Anthropic 委託 Trajectory Labs 測試 72 個間接提示注入情境、每個情境執行十次，公開圖表顯示 Opus 5 在 Auto Mode 下的攻擊成功率是 0.00%（來源）。研究者同時指出，該評測似乎沒有公布基準測試名稱。
沒有名稱的基準，外界無法重現、無法比對、無法知道它涵蓋了什麼。這是後面數字打架的伏筆。
這條攻擊鏈是怎麼一步步打進去的？
攻擊鏈總共五步，全程沒有任何一句話直接叫 Claude 做壞事。攻擊者做的是把惡意路徑鋪成完成任務最合理的那一條，剩下的由模型自己走完。
使用者輸入的指令只有一句：摘要某個網站。網站把自己包裝成一個筆記檔案庫，內容是七則關於語言理論發展的短紀錄，附上型錄後設資料、日期與校驗碼。包裝的用途，是給 Claude 一個正當理由去深入處理這批材料。
第一步，把 Claude 從 WebFetch 推到 Bash。 Claude 一開始用內建的 WebFetch 工具抓網頁，而 WebFetch 本身似乎會先做一次摘要，所以要攻擊 WebFetch 得另外對付它自己的摘要機制。伺服器的回應是 415 Unsupported Media Type。它沒有叫 Claude 改用 curl，但 Claude 自己得出結論：WebFetch 拿到 415，那我直接抓。於是它發出 Bash 工具呼叫，用 curl 下載。研究者點名這是常見的關鍵劫持技巧——攻擊不告訴模型該做什麼，只讓惡意路徑成為值得走的那條。
第二步，導向 ZIP 檔。 根 URL 回應 HTTP 303，導向一個型錄壓縮檔。研究者補充，這個導向不是每次都必要，Claude 有時一開始就直接用 curl。
第三步，模型拒絕明顯的誘餌。 Claude 把壓縮檔解到暫存資料夾。裡面有 README、對照表 CSV、SHA256 清單、七筆用 Base85 加 zlib 編碼的 JSON 紀錄，以及一支叫 decoder-darwin 的 macOS 執行檔和一個 struct.py。README 說 decoder-darwin 是型錄解碼器。Claude 看到來路不明的執行檔，拒絕執行——這正是攻擊者的計畫。有時 Claude 還會檢查那支執行檔有沒有問題，結果發現它跟 README 描述的格式吻合。
第四步，模型自己寫解碼器。 編碼方式很單純：Base85、zlib、JSON。Claude 不用那支執行檔，改寫一支自己的 Python 解碼器。到這裡為止，模型的每一個判斷都是對的。
第五步，執行位置出賣了它。 Claude 在解壓出來的攻擊者控制目錄裡跑那支解碼器。目錄裡躺著 struct.py。Python 尋找模組時會先看當前目錄，所以這個同名檔案會蓋掉標準函式庫的官方版本——這叫模組遮蔽。當程式 import base64，被污染的 struct.py 就被觸發，攻擊者的程式碼開始執行。
整條鏈上，沒有一個步驟需要模型「聽話」。它只需要模型聰明、盡責、想把事情辦好。
官方測出 0.00%、研究者實測 60–80%，該信哪個？
兩個數字量的東西不一樣，所以可以同時成立。0.00% 描述的是那 72 個情境內的表現，60–80% 描述的是一條針對性設計、刻意繞過已知情境的攻擊鏈。
| 比較項 | Anthropic 委託之第三方評測 | 研究者實測攻擊鏈 |
|---|---|---|
| 執行者 | Trajectory Labs（Anthropic 委託） | Embrace The Red 部落格作者 wunderwuzzi |
| 規模 | 72 個間接提示注入情境 × 每個 10 次 | 小樣本（研究者自述 small sample size） |
| 攻擊性質 | 情境庫測試 | 針對性、多階段、專為繞過設計 |
| 攻擊成功率 | 0.00% | 最高 80%（60–80% 區間） |
| 基準名稱是否公開 | 研究者指出似乎未公布 | 攻擊鏈步驟公開，測試網域刻意隱去 |
| 對外意義（本文推論） | 該情境庫涵蓋範圍內防禦有效 | 情境庫之外的針對性設計可被繞過 |
最後一列要標清楚：那是我的推論，不是來源的逐字說法。 來源只寫了 Boris Cherny 宣稱分層防禦能把「未見過（unseen）的攻擊」壓到趨近於零，以及 Trajectory Labs 測了 72 個情境、結果 0.00%，並未說明這 72 個情境算不算「已知」、涵蓋了哪些範圍。基準名稱又沒公開，外界能確定的只有一件事：0.00% 是那 72 個情境跑出來的數字，範圍以外的表現無從得知。
誠實地說：60–80% 這個數字，研究者自己標明是小樣本結果，讀成量級訊號比較穩，別當成精確機率。但它要證明的事情很單純——這條路徑會通，而且可重複。對做決策的人來說，「能重複」比小數點重要得多。
反過來，0.00% 也不是造假。它真實反映了那 72 個情境下的表現。問題在於這個數字被拿去支撐「趨近於零」的整體安全宣稱，而測不到的東西，永遠不會出現在測出來的數字裡。
分類器批准，不等於安全。 這是這起事件唯一需要記住的判斷。
這對台灣中小企業意味著什麼？
對台灣中小企業來說，最直接的意義是：讓 AI Agent 自主執行終端機指令，等於在公司開了一道沒人看守的門，而這道門的鑰匙握在任何一個你的 Agent 會讀到的網頁手上。
我看到的實況是，很多老闆聽到「AI Agent 自動化」，腦中浮現的是省人力——不用工程師盯著、不用一直按同意、晚上還能繼續跑。這個期待沒錯，Auto Mode 確實在做這件事。但省下的那個「按同意」的動作，原本是公司裡唯一一個知道全盤脈絡的人做的判斷。
台灣中小企業的處境更尷尬，有三個結構性弱點：
第一，沒有專職資安人力。三十人以下的公司，資安通常掛在 IT 兼辦，甚至掛在老闆自己身上。一條要五個步驟才顯形的攻擊鏈，靠人工看 log 是看不出來的。
第二，開發機就是主力機。工程師的筆電裡同時有客戶資料、正式環境金鑰、公司雲端憑證、財務試算表。Agent 跑在這台機器上，代碼執行的爆炸半徑就是整間公司。
第三，外部內容是日常工作流。做行銷的要 Agent 讀競品網站，做採購的要它讀供應商報價頁，做研究的要它抓產業報告。這些全都是間接提示注入的入口，而且無法用「不要點陌生連結」這種教育解決——去讀陌生連結本來就是你交辦的任務。
所以我的立場很明確：中小企業可以用 Auto Mode 級的自動化，但只能在隔離環境裡用。 容器隔離、網路出口限制、憑證隔離這三件事是基本配備，不是選配。沒有這三層就開自動模式，省下的人力遲早要用一次資安事件付回去，而中小企業通常付不起那一次。
中小企業要用 Agent 自動化，最低要補上哪三層？
三層：容器隔離、網路出口限制、憑證隔離。做完這三層，Agent 就算被完整劫持，攻擊者拿到的也只是一台可拋棄的空殼。
| 防護層 | 具體做法 | 擋掉這次攻擊的哪一步 | 沒做的後果 |
|---|---|---|---|
| 容器隔離 | Agent 只跑在可拋棄的容器或虛擬機，不掛載主力開發機的家目錄 | 第五步的代碼執行被關在容器內 | 攻擊者直接拿到工程師整台機器 |
| 網路出口限制 | 只允許連工作真正需要的網域，其餘出口一律封鎖 | 第一、二步的 curl 下載會失敗 | 任意下載惡意檔案、任意外傳資料 |
| 憑證隔離 | 容器內不放正式環境金鑰、資料庫密碼、雲端憑證 | 攻擊得手也拿不到值錢的東西 | 一次注入等於整套雲端資產外洩 |
| 執行目錄控制 | 不在剛解壓的外部目錄裡執行任何腳本 | 直接切斷第五步的模組遮蔽 | 標準函式庫被同名檔案掉包 |
第四列是這次事件送的額外一課，成本最低、效果最直接：永遠不要在剛從外部下載解壓的目錄裡執行程式。換個乾淨目錄跑，這條攻擊鏈就在最後一步斷掉。
操作面補三個判斷：
不要用「模式安不安全」思考，用「這台機器丟掉會怎樣」思考。 如果答案是「沒差，重開一台」，那你的隔離做對了。如果答案是「完蛋」，那不管開哪個模式都不該跑自動化。
要求可回溯的執行紀錄。 Agent 執行過哪些指令、連過哪些網域、寫過哪些檔案，事後都要能翻出來。這次攻擊鏈之所以能被完整拆解，靠的就是每一步都留下紀錄。官方文件（Claude Code 說明）提供的設定選項該讀完再上線，別直接拿預設值進正式環境。
把外部內容處理跟高權限操作分開。 讀網頁的 Agent 不要同時握有部署權限。這是最老派也最有效的權限最小化，跟 AI 沒關係，跟常識有關係。
這類「工具怎麼用才不會反傷自己」的判斷，我們在 AIRUN 的 AEO 內容線 持續拆給中小企業看，因為工具會換，判斷邏輯不會。
用 Claude Code Auto Mode 自動化安全嗎？
在隔離環境裡安全，在你的主力機上不安全。隔離做了就安全，沒做就危險，中間沒有灰帶。
這次事件真正的價值，不在於證明某個模型有漏洞。Claude 在攻擊鏈裡的每一個判斷單看都是對的：它警覺地拒絕了來路不明的執行檔，它自己動手寫解碼器避開風險，它甚至檢查了那支執行檔的格式。它輸在執行位置，而執行位置這件事，模型的安全訓練管不到，只有基礎設施管得到。
所以答案是：別把安全押在模型的判斷力上，押在它能碰到的東西上。 判斷力再好的 Agent，只要跑在錯的目錄、錯的機器上，照樣會把你的機器交出去。
2026 年 8 月中 Auto Mode 成為預設之後，這道題的重點已經從「要不要用」轉成「你有沒有在用而不自知」。今天就去看一眼：你的 Agent 跑在哪台機器上、能連到哪裡、身上帶著誰的鑰匙。三個問題，十分鐘，比任何一份安全評測報告都有用。
常見問題
Auto Mode 是 Claude Code 的預設嗎？
是。依研究者說明，自 2026 年 8 月中起，Auto Mode 是 Claude Code 的預設啟動模式，它用一個安全分類器取代原本每次動作前的人工確認提示。多數人並未主動打開它，一啟動 Claude Code 就已經在這個模式裡。要不要維持這個預設，取決於你讓 Agent 跑在什麼環境、能碰到哪些憑證與網路出口。
這條攻擊鏈只影響 Claude Code 嗎？
這次實測對象是 Claude Code Opus 5 的 Auto Mode。但攻擊用的兩個核心手法並不綁特定產品：一是不下命令、只把惡意路徑做成完成任務最合理的一條；二是用同名檔案遮蔽程式語言的標準函式庫。任何能讀外部內容、又能在本機執行指令的 Agent，都應該當成同一類風險處理。
60–80% 的攻擊成功率有多可信？
研究者自己在文章裡標明這是小樣本（small sample size）下的結果，所以 60–80% 該讀成量級訊號，別當成精確機率。它要證明的事情很單純：這條路徑會通，而且不是偶發的萬分之一。對決策者來說，重點在於「可重複」，不在小數點。
為什麼 Anthropic 委託的評測會測出 0.00%？
來源能確認的部分是：該評測由 Trajectory Labs 執行，涵蓋 72 個間接提示注入情境、每個情境跑 10 次，圖表顯示 Opus 5 在 Auto Mode 下攻擊成功率 0.00%，且研究者指出該評測似乎未公布基準測試名稱。以下是本文推論，不是來源的逐字說法：0.00% 描述的是這 72 個情境內的表現，而針對性設計、且刻意繞開已知情境的攻擊鏈不在其中，自然不會出現在那個數字裡。來源並未說明這 72 個情境涵蓋哪些範圍。
中小企業導入 AI Agent 自動化，最低限度要做什麼？
三件事：容器隔離，讓 Agent 只跑在可拋棄的容器或虛擬機裡，不碰主力開發機；網路出口限制，只允許連內部需要的網域，其他一律擋掉；憑證隔離，容器內不放正式環境的金鑰、資料庫密碼、雲端憑證。這三項做完，就算 Agent 被劫持，攻擊者拿到的也只是一台空殼。
Auto Mode 拒絕執行可疑檔案，不就代表它有在防守嗎？
它確實拒絕了那支來路不明的 macOS 執行檔，判斷是對的。問題在於攻擊者要的就是這個拒絕——Claude 因此改寫自己的 Python 解碼器，並在攻擊者解壓出來的目錄裡執行，反而完成了攻擊。防守動作正確，執行環境錯誤，結果一樣是代碼執行。
AIRUN 對抗式創業體檢 AgentFlow Solutions（双云行銷試運行）