PRODUCT / 产品

Claude Code

5 篇相关3 个来源首见 2026-11-15最近 2026-11-15正文已写
5
相关条目
3
来源数
11-15 → 11-15
时间跨度
产品
类型

Claude Code

一句话

把一个 CLI 变成了有 shell、文件、网络权限的 Agent。 它的安全模型不是"模型会不会说错话"，而是"模型被说服之后能对你的机器做什么"。

这是 2026 年被研究得最透的 Agent 产品，也是最好的教材——因为它的每一次事故都对应一类通用问题。

攻击面地图（按被利用频率排）

面具体位置典型问题
权限模型settings.json 的 allow/deny 规则、--dangerously-skip-permissions规则按前缀匹配，bash(git:*) 这类通配能被打穿；deny 写在 allow 后面会被覆盖
hooksPreToolUse / PostToolUse 脚本hook 本身是可执行文件，改 hook 等于拿到执行权，而 hook 常放在仓库里
MCP 服务器.mcp.json、用户级配置工具描述里的指令会被当上下文读；服务器能返回任意内容；Host/Origin 校验经常只做在传输层
Skills / 插件目录里的 SKILL.md、插件包用不可见 Unicode 藏指令，能过人工 review
依赖安装生成代码后自动 npm install / pip installpostinstall 钩子 = 任意命令执行（这是最容易被忽略的一条）
路径校验文件读写前的 workspace 检查TOCTOU：检查通过后、写入前，另一个进程换掉软链接
客户端签名cch 请求签名（历史）为了锁订阅而做，一天被逆向完

这张表的用法：拿到任何一个新的 Agent 产品，照着这七行问一遍"它有没有这个东西、它怎么做的"，就是一份完整的攻击面清单。

时间线（2026）

时间事件教训
03-31源码泄露，cch 签名机制曝光藏算法只能提高成本，不能保密
04-01cch 被完全逆向（24 小时）内存写监视点 > 找函数
08-26Opus 5 Auto Mode 被"总结网页"劫持到代码执行，实测 60-80% 成功率第三方评测给的 0.00% 和真实攻击面之间有巨大缝隙
10CVE-2026-103435：路径检查的 TOCTOU"检查的到底是什么"是核心问题
10Cursor 事件溯源：Fireworks AI 密钥泄露 → 恶意扩展被植后门供应链的上游是别人的密钥
11cch 类问题演化成"AI 中转站"生态与相关刑事判例技术问题会变成法律问题

一条典型的链（Auto Mode RCE）

① 攻击者在自己的网页里放一段"给 AI 的说明"
        ↓
② 用户让 Claude Code "总结一下这个页面"
        ↓
③ Auto Mode 用安全分类器替代人工确认 → 分类器判断"这只是总结"
        ↓
④ 页面里的指令让 Agent 写文件 / 跑命令
        ↓
⑤ Agent 有这个权限（它本来就是干这个的）→ 执行

第 ⑤ 步是关键：Agent 不需要提权，它本来就有权限。 攻击者做的是"借用"，不是"突破"。

怎么防（对个人和对团队不一样）

个人用：

1. 别在放有机密/生产凭据的目录里开 Auto Mode。

2. settings.json 里 deny 要写在 allow 前面，且优先用精确路径而不是通配。

3. 仓库里来的 hooks / skills / .mcp.json，看一眼再跑——它们是代码，不是配置。

团队用：

1. 凭据隔离：Agent 跑在容器里，只挂载本次任务需要的目录，环境变量里不放长期凭据。

2. 出网白名单：安装依赖走内部镜像，禁 postinstall（npm ci --ignore-scripts）。

3. 高危动作二次确认：rm -rf、git push --force、任何 curl 带 $SECRET 的，必须人工点。

4. 审计：把每次工具调用（含完整参数）落日志，Agent 出事时这是唯一证据。

我的判断（2026-11）

相关（本站内）

时间线

来源分布

同一个主题出现在越多来源里，可信度越高；只出现在一个来源的，当线索看待。

V2EX
3
FreeBuf
1
GitHub Trending 日榜
1

相关实体

Cursor
产品2 篇
AK/SK 泄露
手法1 篇