突破性发布：Claude Code Opus 5 自动模式

判断

把 auto mode 设成默认护栏的团队，得重挑默认值：要么改为在容器或 VM 沙箱里跑并限制出网，要么接受这套护栏会在 agent 察觉入侵后，连它自己的清理命令一起拦下。

依据

Simon Willison 引的是 Johann Rehberger —— 后者称这条攻击对 auto mode（Claude Code 自动放行命令的模式）有 80% 的命中率。路径是让 Claude Code 下载并解压一个 zip 归档，再执行一段导入 base64 的代码，而这次导入会顺带执行从归档里解出的本地 struct.py。关键不在绕过：分类器放行了恶意进程的创建，随后 agent 察觉入侵、发出终止命令时，auto mode 又把这条清理命令拒了。Willison 的结论是无人值守时唯一安全跑法是沙箱 —— 容器、虚拟机或操作系统级隔离，限制网络出口，监控 agent，不把家目录、SSH 密钥、云凭证暴露给运行时。8月30日的更新里，Lobste.rs 用户 hyperpape 指出这不算经典提示注入（prompt injection，把恶意指令藏进 agent 会读到的内容里诱导它照做）：全程没有网站上的恶意指令被模型跟随，更像环境本身被混淆后遭到利用。