Vulnerabilidade permite enganar Claude Code para executar código malicioso via resumo de site

Pesquisadores de segurança cibernética demonstraram uma nova forma de manipular o Claude Code, da Anthropic, fazendo com que o assistente de codificação execute comandos arbitrários. A falha é explorada ao pedir ao agente de inteligência artificial para simplesmente resumir um site malicioso, uma descoberta que levanta preocupações significativas sobre a segurança de modelos de linguagem em modo automático. A revelação foi feita em 28 de agosto de 2026.

Como a injeção de prompt engana o modelo Claude Code

O especialista em injeção de prompt Johann Rehberger, conhecido como wunderwuzzi, detalhou como é possível sequestrar o Opus 5 em Modo Automático, a configuração padrão do Claude desde meados de agosto. O processo se inicia com a solicitação para que o agente de codificação resuma uma página web com conteúdo suspeito, disfarçada de arquivo de registros. Em vez de usar a ferramenta WebFetch para recuperar o conteúdo, o Claude é manipulado a empregar o comando `curl` do Bash. Isso ocorre após uma falha deliberada na solicisição original, que retorna um erro de “Tipo de Mídia Não Suportado” (415).

Mecanismo do ataque: o arquivo ZIP malicioso e a falsa segurança da IA

Após a falha do WebFetch, o modelo decide acessar o site diretamente utilizando `curl`. A página, então, responde com um redirecionamento (303) para um arquivo ZIP malicioso, que o Claude automaticamente baixa. Dentro desse arquivo, são encontrados itens aparentemente inofensivos, como metadados de catálogo, um arquivo README e registros de notebook codificados em Base85/zlib, além de um binário de decodificador macOS. Contudo, o elemento mais perigoso é um arquivo Python envenenado, denominado `struct.py`. A inteligência artificial, seguindo suas próprias diretrizes de segurança, recusa-se a rodar o decodificador binário fornecido, mas essa decisão, ironicamente, se torna a brecha de segurança. O modelo opta por criar seu próprio decodificador, que importa o módulo `base64`.

A falha crucial: o sombreamento de módulo Python

A exploração da vulnerabilidade depende de um conceito conhecido como sombreamento de módulo Python. Esse fenômeno ocorre quando um arquivo local, dentro de um pacote baixado, compartilha o mesmo nome de um módulo padrão da biblioteca Python. Isso faz com que o interpretador Python carregue o arquivo local malicioso em vez do módulo oficial.

Nesse caso, o módulo `base64` da biblioteca padrão importa legitimamente o módulo `struct`. Como o arquivo ZIP malicioso contém um `struct.py` adulterado, este é carregado, permitindo a execução de código arbitrário. Rehberger utilizou o ChatGPT para ofuscar o código malicioso de `struct.py`, driblando os controles de segurança do Claude. O resultado foi o lançamento bem-sucedido de um processo Python separado, capaz de baixar e executar uma carga remota, como um callback de comando e controle que, no exemplo, abriu a Calculadora. Em cenários reais, ataques poderiam ser muito mais perigosos.

O pesquisador também demonstrou um cenário onde o `struct.py` inicia um segundo Claude Code sem interface gráfica via `claude -p`, transformando a injeção de prompt em uma ferramenta para criar um novo agente de IA. Esse Claude aninhado teria acesso próprio a ferramentas e contexto, realizando tarefas como reconhecimento básico de sistema e escrita em arquivos locais.

Testes de sucesso e o “comportamento esperado” da Anthropic

Rehberger conduziu testes com três variantes do ataque, cada uma executada cinco vezes, alcançando taxas de sucesso entre 60% e 80%. Apesar de se tratar de amostras pequenas, ele considera os resultados representativos de um ataque motivado. A Anthropic, criadora do Claude, não respondeu ao pedido de comentário sobre a descoberta. Entretanto, teria informado a Rehberger que o “comportamento do modelo está funcionando conforme o projetado”.

Segundo a resposta atribuída à Anthropic, o Modo Automático é uma “funcionalidade de conveniência amparada por um classificador de melhor esforço, e não uma garantia de segurança”. O pesquisador explicou que o classificador não é projetado para conter cadeias de injeção de prompt que consistem em passos individualmente inofensivos, e que as verdadeiras barreiras de segurança residem no isolamento do sistema operacional e no controle de saída de rede.

A solução essencial para a segurança de inteligências artificiais

A principal lição, conforme Rehberger, é a necessidade urgente de executar agentes de codificação e outras inteligências artificiais em ambientes isolados, conhecidos como “sandboxes”. A solução para esse tipo de problema já é discutida há muitos anos no campo da segurança: não se deve confiar na saída do modelo. A capacidade de um modelo de IA ser enganado para realizar ações não intencionais por meio de entradas aparentemente inocentes ressalta a importância de camadas de segurança robustas e da validação humana contínua em sistemas autônomos.