共计 1150 个字符，预计需要花费 3 分钟才能阅读完成。
能随意窃取数据! 这款热门 AI 编程工具曝重大隐患
AI 编程助手越像“工程师”,它的安全边界就越关键 。 近日,Anthropic 旗下 Claude Code 被披露曾存在网络沙箱绕过问题, 核心缺陷与 SOCKS5 代理处理主机名时的空字节注入有关。研究称, 该问题可能让本应被白名单策略拦截的外部连接被放行。
📌 Claude Code 的风险来自高权限能力
Claude Code 面向开发者使用, 能够在终端中读取代码库、修改文件并执行命令。与普通代码补全工具相比, 这类 AI Agent 更深入地参与项目操作, 也意味着一旦被恶意提示词诱导, 风险会从“生成错误代码”升级为“执行错误动作”。
为降低外联风险,Claude Code 引入网络沙箱机制。用户可在配置中设定允许访问的域名, 理论上未列入白名单的网络请求应被阻断。该机制的关键环节, 是由 SOCKS5 代理根据策略判断连接是否允许。
🔍 漏洞关键: 校验层和解析层理解不一致
研究员关傲男披露的绕过方式,利用了不同组件对同一主机名字符串的不同处理。代理层使用 JavaScript 逻辑判断域名后缀是否符合白名单; 而底层 DNS 解析函数在遇到空字节时, 可能把它视为字符串结束。
这会造成一种错位: 校验逻辑看到的是带有允许后缀的主机名,因此放行; 真正解析连接时, 目标却可能变成空字节前面的攻击者域名。该问题属于典型的解析器差异漏洞, 安全行业长期将其视为跨信任边界处理中的高风险模式。
💡 与提示词注入叠加后影响更大
单独的网络沙箱绕过已经值得警惕,更现实的风险在于它可能与提示词注入结合。此前研究已指出,PR 标题、Issue 内容、评论或隐藏文本, 都可能成为诱导 AI Agent 执行非预期指令的入口。
- 可能受影响数据:环境变量、API 密钥、云服务凭证、GitHub 令牌等。
- 可能触发入口:公开协作内容、仓库元数据、Issue 或 PR 信息。
- 实际风险前提:取决于工具版本、用户配置、运行权限和敏感信息暴露情况。
📊 争议点在于修复之外的告知
据披露, 该漏洞曾通过漏洞赏金渠道提交,厂商回应称其与内部已追踪报告重复。研究称问题随后在新版中被修复, 但公开安全通告、CVE 编号和更新日志中的安全说明并不充分, 这引发了外界对透明度的讨论。
🚀 总结:AI Agent 需要更强纵深防御
Claude Code 事件再次提醒行业,AI 编程工具的安全设计不能只关注模型表现, 还必须覆盖权限隔离、输入规范化、网络出口控制和用户告警机制。尤其在工具具备读写文件、执行命令和访问网络能力后, 任何一个边界失效都可能放大攻击面。
短期看, 用户应及时更新相关工具,并谨慎授予仓库、终端和凭证权限。长期看, 厂商需要把 AI Agent 当作高权限执行环境来治理, 透明披露和纵深防御应成为此类产品的基础要求。
