Claude Code Opus 5 em 'Auto Mode' demonstra vulnerabilidade crítica a ataques de Prompt Injection

A recente descoberta de uma vulnerabilidade crítica no Claude Code Opus 5, quando operando em 'Auto Mode', expõe uma brecha significativa na segurança da IA para desenvolvimento. O ataque explora uma técnica engenhosa: o modelo é induzido a visitar um site malicioso que o redireciona para baixar um arquivo ZIP. Embora o Claude recuse executar um binário perigoso, ele decide criar seu próprio decodificador Python. O problema ocorre porque este decodificador é executado dentro do diretório controlado pelo atacante, que contém um arquivo `struct.py` malicioso.

Este `struct.py` sombra o módulo padrão do Python, permitindo a execução de código arbitrário. A surpresa é que o próprio modelo, em sua tentativa de ser 'seguro' ao não rodar o binário, cria o cenário para sua própria exploração. A automação, que deveria reforçar a segurança via um classificador, falha em detectar esta cadeia de ataque complexa, resultando em altas taxas de sucesso para os invasores. Isso reforça a tese, já levantada pelo CEVIU em "Vulnerabilidade Crítica em Modelos de Linguagem: Ataque de Prompt Injection Permite Execução Remota em Opus-5 do Claude Code", de 3 de agosto de 2026, de que o Opus-5 do Claude é suscetível a manipulações por prompt injection.

A principal mudança reside na quebra de uma expectativa de segurança anterior. Avaliações externas, encomendadas pela própria Anthropic, indicavam uma taxa de sucesso de 0.00% para ataques de prompt injection no Opus 5 em 'Auto Mode'. A análise atual desmente essa percepção, demonstrando uma taxa de 60-80% de sucesso em ataques direcionados. Além disso, o 'Auto Mode' do Claude Code se tornou o modo padrão para o modelo desde meados de agosto de 2026, o que aumenta a exposição a esta vulnerabilidade.

Este incidente é um alerta para desenvolvedores e equipes de segurança. Ele demonstra que a automação por IA, mesmo com intenções de segurança, não substitui as práticas fundamentais de sandboxing e monitoramento. A crença em uma "solução" para prompt injection, como defendido anteriormente por alguns da equipe Claude Code, pode gerar uma falsa sensação de segurança. A vulnerabilidade aponta para a necessidade urgente de benchmarks de segurança mais rigorosos e cenários de teste que reflitam ataques reais e complexos, garantindo que as ferramentas de IA que utilizamos sejam realmente resilientes contra manipulações.