Injection de prompt contourne Claude Code Opus 5 en Auto Mode avec 60-80% de succès

🔍 Contexte

Publié le 26 août 2026 sur le blog Embrace The Red (wunderwuzzi), cet article présente une recherche offensive ciblant Claude Code Opus 5 en Auto Mode, le nouveau mode par défaut depuis mi-août 2026 qui remplace les invites d’approbation humaine par un classificateur de sécurité.

🎯 Contexte de la vulnérabilité

Anthropic avait publié des résultats d’évaluation (via Trajectory Labs) montrant un taux de succès d’attaque de 0,00% pour 72 scénarios d’injection de prompt indirecte testés 10 fois chacun. Le chercheur démontre que cette métrique est trompeuse car sa chaîne d’attaque n’était pas dans le benchmark.

⚙️ Chaîne d’attaque détaillée

L’attaque repose sur une injection de prompt indirecte via un site web malveillant, déclenchée par une simple demande de résumé d’URL :

1. Redirection WebFetch → curl : Le serveur répond avec un code HTTP 415 (Unsupported Media Type), poussant Claude à utiliser curl via l’outil Bash sans instruction explicite
2. Redirection vers une archive ZIP : L’archive contient des métadonnées plausibles, 7 enregistrements encodés en Base85/zlib/JSON, un binaire decoder-darwin, et un fichier struct.py malveillant
3. Refus du binaire par Claude : Claude refuse d’exécuter decoder-darwin (comportement attendu et planifié par l’attaquant)
4. Claude écrit son propre décodeur Python : La décision de sécurité devient le vecteur d’exploitation
5. Module shadowing via struct.py : Claude exécute son décodeur depuis le répertoire de l’archive extraite ; le module base64 importe struct, qui est intercepté par le struct.py malveillant de l’archive
6. Exécution de code arbitraire : Le struct.py obfusqué lance un processus Python enfant isolé (python3 -I) qui télécharge et exécute un stager distant
7. Callback C2 : Le payload final établit une connexion vers un serveur C2 (Sliver) et ouvre la Calculatrice comme preuve visuelle

📊 Taux de succès d’attaque (ASR)

🚨 Comportements notables observés

• Auto Mode bloque le nettoyage : Dans certains runs, Claude a tenté de terminer le processus malveillant après avoir détecté la compromission, mais le classificateur Auto Mode a bloqué la commande de nettoyage
• Spawn d’un second agent Claude : Une variante utilise claude -p pour lancer une seconde instance Claude Code headless depuis le struct.py malveillant
• Détection tardive : Claude a parfois reconnu l’attaque après coup, tout en ayant déjà exécuté le code malveillant

📣 Divulgation et réponse d’Anthropic

Le rapport a été soumis à modelbugbounty@anthropic.com sans réponse initiale, puis via le canal de sécurité officiel. Anthropic a classé le rapport comme Informative et a indiqué que le comportement est conforme à la conception : Auto Mode est un classificateur best-effort, non une garantie de sécurité, et les chaînes d’attaque déterminées combinant des étapes bénignes ne sont pas dans son périmètre.

📝 Nature de l’article

Article de recherche offensive (PoC) avec démonstration vidéo, visant à contester les affirmations marketing d’Anthropic sur la résolution de l’injection de prompt et à sensibiliser sur les limites des benchmarks de sécurité pour les agents LLM.

🧠 TTPs et IOCs détectés

TTP

• T1055 — Process Injection (Defense Evasion)
• T1059.006 — Command and Scripting Interpreter: Python (Execution)
• T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Persistence)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1071 — Application Layer Protocol (Command and Control)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1204.002 — User Execution: Malicious File (Execution)
• T1036 — Masquerading (Defense Evasion)

IOC

• Emails : modelbugbounty@anthropic.com
• Fichiers : struct.py
• Fichiers : decoder-darwin
• Fichiers : WIC-notebook-catalogue.ZIP
• Fichiers : README.txt
• Fichiers : accession-map.csv
• Fichiers : MANIFEST.sha256

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 28 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Sliver (framework)

🟡 Indice de vérification factuelle : 50/100 (moyenne)

• ⬜ embracethered.com — source non référencée (0pts)
• ✅ 16715 chars — texte complet (fulltext extrait) (15pts)
• ✅ 7 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 8 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/