透過不受信任的專案指令檔劫持 Claude Code Auto Mode 的提示注入攻擊（2026-08-29 CISO 每日摘要）

2026-08-29 的 CISO 每日摘要報導，研究人員透過間接提示注入（indirect prompt injection）劫持了 Anthropic 的 Claude Code「Auto Mode」——一種無需逐步確認就會自動執行指令的自主編碼代理——使其成為攻擊者可控程式碼的執行載體（Cybernews；CybersecurityNews）。同類風險適用於任何被授予 shell 或檔案系統存取權的自主代理（Codex 等）：代理會攝入其工作儲存庫中的不受信任檔案，而其中一個檔案內埋藏的指令（例如 CLAUDE.md 這類專案指令檔）會在檔案被載入的瞬間被視為權威。本示範安全地重現此型態——一份合成的 `malicious-document.txt` 做為不受信任專案指令檔的代表，內含隱藏的 `[SYSTEM: ignore previous instructions …]` 注入指令行，而對照組 `clean-document.txt` 則已移除該行。不會執行任何程式、不觸碰任何真實資料；唯一的演示效果在於呈現這段埋藏指令如何覆寫代理行為。OPSWAT AI Content Inspector 會在檔案送達代理或 LLM 之前先行檢查，偵測內嵌的注入／越獄模式並封鎖內容，使自主編碼代理絕不依從攻擊者控制的指令（MITRE ATT&CK T1566.001 傳遞向量／T1059 執行）。