Breaking Claude Code Opus 5 Auto Mode

Simon Willison 转述 Johann Rehberger 的攻击链：诱导 Claude Code 下载并解压归档，再借本地 `struct.py` 触发代码执行，声称成功率约 80%。更反常的是 Auto Mode 偶尔允许恶意进程启动，却拦截 agent 的终止命令；作者因此要求无人值守运行必须用容器/VM、限制出网并隔离 SSH 与云凭据。