Rehberger révèle une faille du mode automatique de Claude Code

Anthropic a renforcé le mode automatique de Claude Code, devenu le réglage par défaut pour protéger les utilisateurs d’agents de programmation. Simon Willison rapporte toutefois une attaque identifiée par Johann Rehberger contre ce mécanisme. Le chercheur affirme que l’attaque fonctionne dans 80 % des cas. Elle incite Claude Code à télécharger et décompresser une archive ZIP. L’agent exécute ensuite du code qui importe base64. Cette opération charge et exécute aussi un fichier local nommé struct.py, extrait de l’archive. L’attaque exploite donc les actions réalisées par l’agent dans son environnement. Willison détaille la démonstration dans son article du 27 août 2026.

Le chercheur décrit un comportement qui touche directement la promesse de protection du mode automatique. Dans quelques exécutions, ce mode a empêché Claude de stopper la poursuite du code nuisible. Dans d’autres, Claude a détecté la compromission et a tenté de terminer le processus malveillant. Le mécanisme automatique a alors refusé la commande de nettoyage. Le classificateur avait autorisé la création du processus malveillant, puis bloqué l’action destinée à l’arrêter. Willison souligne ainsi que le dispositif de sécurité peut devenir une partie de l’échec. Cette séquence distingue la détection d’un problème et la capacité effective à interrompre ses conséquences.

Le mode automatique bloque le nettoyage

La protection intervient à plusieurs étapes de l’exécution observée. Elle a laissé passer la création du processus malveillant, selon le récit de Willison. Elle a ensuite refusé une commande visant à arrêter ce processus. Claude avait pourtant repéré la compromission dans certains essais. Le résultat décrit repose donc sur une interaction entre l’agent, le classificateur et les commandes autorisées. Johann Rehberger présente son attaque comme efficace dans 80 % des cas. Ces essais concernent le mode automatique de Claude Code. Ils ne démontrent pas que chaque utilisation produit le même résultat. Ils montrent plutôt qu’une action de nettoyage peut être refusée après la détection d’un comportement dangereux.

Willison recommande une exécution isolée lorsque des attaques adverses pourraient viser l’agent. Il préconise un conteneur, une machine virtuelle ou un bac à sable du système d’exploitation. Il recommande aussi de restreindre les sorties réseau et de surveiller les agents. Les répertoires personnels, les clés SSH et les identifiants infonuagiques ne devraient pas être exposés à l’environnement d’exécution, selon son conseil. Ces mesures portent sur l’environnement autour de l’agent. Elles ne reposent pas uniquement sur la décision du mode automatique. L’article original présente cette combinaison comme la manière sûre d’exécuter des agents sans supervision face à une attaque adversaire.

Willison recommande un environnement isolé

La qualification évolue dans une mise à jour publiée le 30 août 2026. Sur Lobste.rs, l’utilisateur hyperpape estime que l’incident ne correspond pas à une attaque classique par injection de consignes. Les consignes malveillantes d’un site web n’auraient jamais été suivies accidentellement par le modèle. Willison reprend cette distinction dans son compte rendu. Il décrit plutôt une attaque d’environnement confus. Dans ce scénario, la nature de l’environnement exposé à l’agent conduit à l’exploitation. Cette précision modifie la catégorie technique de l’incident. Elle ne retire pas le fait rapporté concernant le téléchargement, la décompression et l’exécution du code local.

L’enjeu opérationnel concerne la possibilité de laisser un agent coder sans supervision constante. Anthropic a placé le mode automatique au centre de sa protection contre les attaques par injection de consignes. Rehberger affirme pourtant avoir trouvé une attaque contre ce mode, avec un taux de réussite annoncé de 80 %. Les essais rapportés incluent aussi des blocages lors de la tentative de nettoyage. Willison en déduit des règles concrètes pour l’exécution : isolation, réseau sortant limité, surveillance et absence d’accès aux secrets. La prochaine étape évoquée par l’article consiste donc à contenir l’agent, plutôt qu’à lui confier directement l’environnement de travail sensible.