Claude Code บน Auto Mode สั่งติดตั้งมัลแวร์อัตโนมัติได้ ถึงแม้จะมีระบบความปลอดภัยเข้มแข็ง

จากรายงานโดยเว็บไซต์ Cyber News ได้กล่าวถึงการที่นักวิจัยด้านความปลอดภัยไซเบอร์อย่างนาย Johann Rehberger หรือเป็นที่รู้จักกันในชื่อว่า “wunderwuzzi” ทำการทดสอบพิสูจน์เพื่อหักล้างคำของทาง Anthropic ว่า Claude Code รุ่นใหม่นั้นมีโหมด Auto Mode ที่มีความปลอดภัยสูง ทั้งมาพร้อมกับระบบป้องกันการถูกโจมตีด้วยการยิงคำสั่ง (Prompt Injection) ที่มีความแข็งแกร่ง ว่าไม่สามารถพึ่งพาความสามารถของเครื่องมือ และฟีเจอร์ป้องกันเหล่านี้ได้อย่างเดียวโดยปราศจากเกราะป้องกันอีกชั้นอย่างการรันตัวผู้ช่วยในสภาวะแวดล้อมแยกเดียว (Isolated Environment) ได้ ซึ่งในการทดสอบนั้นทางนักวิจัยได้ยืนยันว่าการแฮก Claude Code ที่ถูกเคลมว่ามีความแข็งแกร่งนี้ทำได้ไม่ยาก โดยวิธีการอย่างหนึ่งคือการสั่งให้ Claude Code ทำการสรุปเว็บไซต์ (Website Summary) ก็สามารถโจมตีด้วยการยิงโค้ดจากระยะไกล (RCE หรือ Remote Code Execution) ได้แล้ว โดยมีโอกาสสำเร็จสูงถึง 80% เลยทีเดียว ถึงแม้ทาง Anthropic ซึ่งเป็นผู้พัฒนา Claude Code ว่าโอกาสสำเร็จมีเพียง 0.00% ก็ตาม

ซึ่งในการทดลองนั้นทางนักวิจัยได้ทำการสร้างเว็บไซต์ขึ้นมาเว็บไซต์หนึ่ง โดยตัวเว็บไซต์นั้นจะอ้างว่าเป็นคลังข้อมูลที่เก็บข้อมูลของสมุดบันทึก (Notebook Record) ในรูปแบบไฟล์บีบอัดสกุล .Zip ที่ภายในมีการสร้างข้อมูลต่าง ๆ เช่น Metadata, วันที่สร้างไฟล์, ข้อมูล Checksum ที่ดูสมจริงและน่าเชื่อถือในสายตาของ Claude Code จากนั้นนักวิจัยก็ได้ทำการสั่งให้ Claude Code ทำการสรุปเว็บไซต์ (Website Summary) ซึ่งตัว Claude ก็ทำตามขั้นตอนโดยเริ่มจากการใช้เครื่องมือ WebFetch เพื่อดึงข้อมูลของเว็บไซต์ แต่ทางนักวิจัยได้วางกับดักไว้โดยให้เว็บไซต์ตอบกลับ (Response) ด้วยแจ้งเตือนข้อผิดพลาดหลอก ๆ ว่า “415 Unsupported Media Type”

หลังจากที่วิธีข้างต้นล้มเหลว Claude ก็ได้ทำตามลำดับต่อมาด้วยการใช้คำสั่ง curl เพื่อดึงข้อมูลแทน ตัวเว็บไซต์ก็ได้ตอบกลับด้วยรหัสสถานะ (Status) ว่า HTTP 303 “See other” ซึ่งรหัสนี้จะนำไปสู่การเปลี่ยนเป้าหมายการโหลดไปยัง URL อื่น นำไปสู่การดาวน์โหลดไฟล์ Zip ที่มีการบรรจุไฟล์มัลแวร์ (Payload) ที่นักวิจัยใส่ไว้เพื่อทดสอบลงมา หลังจากที่ไฟล์ Zip ถูกดาวน์โหลดลงมาเรียบร้อยแล้ว Claude Code ก็ได้ทำการคลายไฟล์ออกมาแต่ปฏิเสธที่จะรันเครื่องมือถอดรหัสที่ตัว AI คิดว่าเป็น Payload ซึ่ง Claude ก็คิดถูก เพราะในไฟล์ Zip นั้นสิ่งที่บรรจุไว้คือไฟล์ปลอมที่มีการเข้ารหัสไว้เป็นพิเศษ (Encoded) พร้อมเครื่องมือถอดรหัส (Decode) ไว้ภายใน โดยในขั้นตอนนี้ แทนที่ Claude Code จะรันไฟล์พวกนั้นขึ้นมาทันที ตัว AI กลับเริ่มเขียนเครื่องมือถอดรหัสไฟล์เป้าหมายด้วยภาษา Python ซึ่งต้องมีการเรียกใช้งานไลบรารี (Library) ที่เกี่ยวข้องขึ้นมา

และนี่ทำให้ตัว Claude Code ถูกซ้อนแผนในที่สุด เพราะไฟล์ Payload ตัวจริงนั้นไม่ได้อยู่ในเครื่องมือถอดรหัสดังกล่าว แต่กลับอยู่ภายในไฟล์ struct.py ซึ่งเป็นไฟล์ที่เนียนเป็นชื่อเดียวกับไลบรารีมาตรฐานของ Python ที่ใช้สำหรับการแปลงข้อมูล และเนื่องจากตัวเครื่องมือที่ถูกสร้างขึ้นด้วยภาษา Python นั้นเมื่อเรียกใช้งานไลบรารีจะมีการค้นหา และเรียกใช้งานจากโฟลเดอร์ปัจจุบันก่อนเสมอ ทำให้หลังจากเครื่องมือถอดรหัสเขียนเสร็จ ตัวเครื่องมือจะทำการค้นหาและดึงไฟล์ไลบรารีปลอมที่แฝงอยู่ในไฟล์ Zip ที่ถูกคลายไฟล์ออกมาดังกล่าวมาใช้งาน นำไปสู่การติดตั้งมัลแวร์ลงเครื่องในที่สุด ทำให้ทางนักวิจัยได้สรุปว่า Claude Code นั้นแท้จริงแล้วมีความเปราะบางอ่อนไหวต่อวิธีการโจมตีแบบการทำวิศวกรรมทางสังคม (Social Engineering) มาก

ซ้ำร้ายไปกว่านั้นคือ ตัว Claude Code ที่ใช้ทดลองดังกล่าวนั้นถูกทดสอบบน Auto Mode ที่ Anthropic โอ้อวดว่าปลอดภัยสุด ๆ แต่ตัว Auto Mode นั้นกลับพยายามขัดขวางความพยายามของ Claude Code ที่จะแก้ไขสถานการณ์ด้วยการปิด Process ที่เป็นอันตราย ด้วยการปฏิเสธไม่ให้ Claude Code รันคำสั่งทำความสะอาด (Cleanup) เสียเอง ซึ่งแทนที่จะปกป้องเครื่องจากอันตราย กลายเป็นการซื้อเวลาให้กับแฮกเกอร์และมัลแวร์ทำอันตรายกับเครื่องได้นานและมากกว่าเดิม

ทางนักวิจัยได้ทำการแจ้งสิ่งที่เกิดขึ้นให้กับทาง Anthropic รับทราบแล้ว แต่ทาง Anthropic กลับปิดเคสดังกล่าวด้วยสถานะ Informative หรือ รับทราบข้อมูลแต่ไม่ทำการออกแพทช์แก้ไขใด ๆ ดังนั้น ขอให้ผู้ใช้งาน Claude Code มีความระมัดระวังในการใช้งานอย่างยิ่งยวด