Umělá inteligence dostává stále větší pravomoci. Nejenže odpovídá na otázky, ale dokáže pracovat se soubory, spouštět příkazy, stahovat data nebo upravovat zdrojový kód. A právě v okamžiku, kdy AI agent získá přístup k operačnímu systému, se z problému s prompt injection může stát skutečný bezpečnostní incident.
Bezpečnostní výzkumník Johann Rehberger, známý také pod přezdívkou „wunderwuzzi“, na konci srpna 2026 zveřejnil ukázku útoku proti Claude Code v režimu Auto Mode. Útočník podle něj dokáže připravit škodlivou webovou stránku tak, aby Claude Code při zdánlivě nevinném úkolu, například při žádosti o shrnutí stránky, nakonec spustil škodlivý kód.
Výzkumník ve svých testech dosáhl podle varianty útoku úspěšnosti 60 až 80 procent. Sám přitom upozorňuje, že šlo o malý vzorek a nejde o komplexní benchmark. Nejdůležitější pointa celé demonstrace ale není samotné číslo. Je jí skutečnost, že Claude Code Auto Mode není bezpečnostní hranice, která by zaručovala, že agent nemůže provést nebezpečnou akci. Jde o klasifikátor, který se snaží rizikové operace blokovat. A útočník může hledat cestu, jak škodlivou akci rozdělit do několika zdánlivě legitimních kroků.
Co je Claude Code Auto Mode
Claude Code Auto Mode má zjednodušit práci s AI agentem. Namísto toho, aby uživatel ručně schvaloval každé volání nástroje, rozhoduje o některých akcích bezpečnostní klasifikátor. Smyslem je najít kompromis mezi dvěma extrémy. Na jedné straně stojí klasické ruční potvrzování každé operace, na druhé například režim --dangerously-skip-permissions, který schvalování prakticky odstraní.
Auto Mode má vyhodnocovat, zda konkrétní akce vypadá jako destruktivní, nevratná nebo namířená mimo prostředí, ve kterém agent pracuje. Anthropic současně popisuje Auto Mode jako best-effort mechanismus, nikoliv jako náhradu za skutečnou izolaci systému. To je zásadní rozdíl. Pokud má AI agent přístup k shellu, souborovému systému a síti, neměla by bezpečnost celého prostředí stát na předpokladu, že každý jednotlivý tool call správně vyhodnotí další model.
Útok začíná úplně obyčejným požadavkem
Na celé demonstraci je nebezpečné především to, jak nenápadně začíná. Uživatel nemusí Claude Code říct, aby stáhl konkrétní soubor a spustil malware. Stačí například požádat o shrnutí webové stránky.
Claude nejprve použije webový nástroj. Útočník ale může připravit server tak, aby první způsob načtení obsahu selhal. V popsaném PoC například server vrací odpověď 415 Unsupported Media Type. Claude pak hledá jiný způsob, jak úkol splnit, a sáhne po curl prostřednictvím nástroje Bash.
A přesně tady začíná být situace zajímavá. Útok totiž modelu nemusí přímo říkat, aby provedl škodlivou operaci. Stačí vytvořit prostředí, ve kterém je škodlivá cesta z pohledu agenta tou nejlogičtější cestou ke splnění původního úkolu.
Claude Code Auto Mode a škodlivý ZIP archiv
Po použití curl následuje přesměrování na ZIP archiv. Archiv v popsaném útoku obsahuje několik na první pohled legitimních souborů. Najdeme v něm například README, CSV data, kontrolní součet, několik zakódovaných záznamů a také macOS binárku spolu se souborem struct.py. Právě poslední dva soubory jsou pro další průběh klíčové.
Claude správně vyhodnotí podezřelou binárku jako něco, co by neměl spouštět. A tady přichází jeden z nejzajímavějších momentů celé demonstrace. Model totiž místo použití dodané binárky vytvoří vlastní dekodér v Pythonu. To samo o sobě vypadá bezpečněji. Ve skutečnosti tím ale vstoupí přímo do připravené pasti.
Python struct.py: nenápadná cesta ke spuštění škodlivého kódu
Součástí archivu je škodlivý soubor struct.py. Název není náhodný. Python při importování modulů prohledává mimo jiné aktuální adresář. Pokud se v pracovním adresáři nachází soubor se stejným názvem jako modul, může být načten právě tento soubor místo očekávané standardní knihovny.
A přesně na tom je útok postaven. Claude vytvoří a spustí vlastní Python dekodér. Ten potřebuje například modul base64. Python následně při jeho zpracování sáhne také po modulu struct. Protože se v adresáři nachází útočníkův struct.py, může být načten právě škodlivý soubor a jeho kód se spustí už během importu.
Nejde tedy o to, že by Claude Code někde explicitně dostal příkaz „spusť struct.py“. Agent pouze vykonává jednotlivé kroky, které z jeho pohledu dávají smysl. Útočník však jednotlivé kroky poskládal tak, aby vedly ke spuštění připraveného payloadu. To je přesně typ problému, který dělá Claude Code Auto Mode z hlediska bezpečnosti zajímavým.
Od Pythonu k C2
Škodlivý struct.py následně spouští izolovaný Python proces, který stáhne a spustí další payload. V laboratorním prostředí se výzkumníkovi podařilo navázat command-and-control komunikaci. Jako viditelný důkaz kompromitace byla v testu například otevřena Kalkulačka.
Ještě zajímavější je skutečnost, že spuštěný proces mohl přežít samotnou relaci Claude Code. To znamená, že problém nekončí okamžikem, kdy agent dokončí svůj úkol. V případě skutečného útoku by podobný mechanismus mohl být využit pro stažení dalšího malwaru, sběr informací o systému nebo komunikaci s útočníkovou infrastrukturou.
Test samozřejmě neprokazuje, že by se přesně tento payload objevil v reálném útoku proti uživatelům. Ukazuje ale, že cesta od nedůvěryhodného obsahu přes AI agenta až ke spuštění procesu je technicky realizovatelná.
A pak přišla ještě podivnější varianta
Rehberger popsal i variantu, ve které škodlivý struct.py nespouštěl jen obyčejný Python proces. Spustil další instanci Claude Code prostřednictvím claude -p.
Jinými slovy: jeden Claude Code mohl ze svého kontextu spustit dalšího Claude agenta. V testu pak vnořený agent prováděl například průzkum systému pomocí příkazů jako whoami, uname nebo id, otevřel Kalkulačku a zapisoval soubory mimo původní pracovní prostor.
To názorně ukazuje další problém agentní AI. Když agent dostane možnost spouštět další nástroje a procesy, bezpečnostní hranice už není pouze mezi uživatelem a chatbotem. Vzniká celý řetězec autonomních kroků, které mohou mít vlastní vedlejší efekty.
Když se bezpečnostní mechanismus stane součástí problému
Jedna z nejzajímavějších částí výzkumu se týká samotného Claude Code Auto Mode. V některých bězích si Claude po kompromitaci dokázal uvědomit, že archiv není v pořádku, a pokusil se škodlivý proces ukončit. Jenže Auto Mode následně zablokoval příkaz určený k jeho zastavení.
Vznikla tak paradoxní situace: mechanismus povolil vytvoření škodlivého procesu, ale následně zabránil jeho ukončení. Je to dobrá ukázka toho, proč není možné bezpečnost agentního systému hodnotit pouze podle toho, kolik jednotlivých nebezpečných příkazů dokáže zablokovat.
Útočník nemusí potřebovat jeden „zakázaný“ příkaz. Může postupně vytvořit řetězec akcí, z nichž každá samostatně vypadá přijatelně.
60 až 80 procent není univerzální číslo
V souvislosti s tímto výzkumem se často objevuje údaj 80% úspěšnost útoku. Je ale potřeba ho interpretovat správně.
Rehberger jednotlivé varianty zkoušel na velmi malém vzorku. Jedna varianta uspěla ve 3 z 5 případů, další také 3 z 5 a varianta využívající druhou instanci Claude Code uspěla ve 4 z 5 případů. Výsledkem tedy není tvrzení, že Claude Code bude podle všeho infikován v 80 procentech všech útoků.
Správnější je říct, že autor ve svých laboratorních testech dosáhl podle varianty řetězce 60–80% úspěšnosti. Sám výzkumník navíc označuje výsledky za reprezentativní pro motivovaný útok, nikoliv za komplexní benchmark.
Proč to vypadá v rozporu s předchozími benchmarky
Celý případ je zajímavý také kvůli předchozí komunikaci Anthropicu. Anthropic v srpnu 2026 popisoval vlastní testování Auto Mode, kde podle zveřejněných výsledků žádný z 720 testovaných útoků proti Claude Code neuspěl.
Na první pohled tedy máme dvě velmi rozdílná čísla: 0 % v jednom benchmarku a 60–80 % v jiném laboratorním scénáři.
Ve skutečnosti se ale tato čísla nemusí navzájem vylučovat. Benchmark testoval pevně definovanou sadu scénářů. Rehberger naproti tomu připravil vlastní, cíleně navržený vícefázový řetězec. Jeho pointa je proto širší: i pokud systém dokáže úspěšně blokovat známé scénáře prompt injection, neznamená to automaticky, že bude odolný proti každému novému způsobu, jak jednotlivé kroky poskládat.
Je to vůbec zranitelnost?
Tady se dostáváme k nejdůležitější otázce. Rehberger tento případ nahlásil Anthropicu. Podle jeho popisu byl report uzavřen jako „Informative“ s tím, že popsané chování je „working as designed“.
To znamená, že podle této interpretace nejde o klasickou softwarovou zranitelnost typu CVE, kterou by stačilo opravit jedním patchem. Je potřeba rozlišovat mezi samotným Claude Code Auto Mode a bezpečností celého prostředí, ve kterém agent běží.
Auto Mode je klasifikátor. Není to sandbox. Není to virtuální stroj. Není to oddělení procesu od citlivých dat. A není to záruka, že se nedůvěryhodný obsah nikdy nedostane do nebezpečného řetězce příkazů.
Právě proto dává smysl chápat celý problém spíš jako strukturální riziko agentní AI.
Agentní AI má problém s nedůvěryhodným obsahem
Tento případ dobře ilustruje obecný problém. Představme si klasického chatbota. Uživatel mu pošle škodlivý text a chatbot ho maximálně zobrazí.
U AI agenta je situace jiná. Agent může načíst web, otevřít archiv, vytvořit soubor, spustit shell, stáhnout další data, zavolat další nástroj nebo dokonce spustit dalšího agenta.
Proto není problémem pouze samotný prompt injection. Problémem je prompt injection + privilegia + nástroje + přístup k systému. Čím více možností agent dostane, tím větší musí být důraz na izolaci jeho prostředí.
Co z toho plyne pro uživatele Claude Code
Nejdůležitější doporučení není „Auto Mode vypněte a je hotovo“. Daleko důležitější je přemýšlet o tom, kam AI agent pustíme.
Výzkum ukazuje, proč není dobrý nápad provozovat autonomního coding agenta bez izolace na počítači, kde má přístup k citlivým souborům a přihlašovacím údajům. Ideální je použít sandbox, kontejner nebo virtuální stroj a současně omezit síťovou komunikaci.
Stejně důležité je agentovi nezpřístupňovat domácí adresář, SSH klíče, cloudové credentials nebo jiné citlivé tajemství, které by po kompromitaci mohlo být zneužito. Dává také smysl sledovat skutečné chování procesu. Nestačí jen vědět, že Auto Mode schválil nějaký tool call. Bezpečnostní monitoring by měl být schopen odhalit například spuštění neobvyklého procesu nebo síťovou komunikaci, která do daného workflow vůbec nepatří.
A především:
Schválení operace v Claude Code Auto Mode neznamená, že je kód bezpečný.
Claude Code Auto Mode není náhrada za sandbox
To je podle mě nejdůležitější závěr celého případu.
AI bezpečnost se dnes často řeší pomocí dalších AI vrstev. Jeden model generuje příkaz, jiný jej klasifikuje, třetí sleduje nástrojové volání. To může významně pomoci. Nemělo by to ale nahradit klasické bezpečnostní principy.
Pokud má proces potenciál spustit malware, nechceme, aby bezpečnost prostředí závisela pouze na tom, zda AI správně pochopí záměr každého jednotlivého kroku. Chceme, aby kompromitace jednoho procesu měla co nejmenší dopad.
Právě proto jsou stále důležité sandboxing, minimální oprávnění, izolace, síťová segmentace, monitoring a ochrana credentials.
Co ukázal tento experiment
Případ kolem Claude Code Auto Mode není důkazem, že Claude Code automaticky představuje malware nebo že každý uživatel skončí kompromitovaný pouhým otevřením webu.
Je to ale velmi názorná demonstrace toho, jak může fungovat útok proti agentnímu systému. Uživatel zadá legitimní požadavek, agent stáhne nedůvěryhodný obsah, obsah způsobí další krok, další krok vede k načtení škodlivého modulu, ten spustí payload a na konci může být skutečné spuštění procesu na počítači uživatele.
To všechno bez jediného okamžiku, kdy by někdo agentovi explicitně řekl: „Spusť malware.“
A právě v tom je celý problém agentní AI.
Závěr
Claude Code Auto Mode je bezesporu zajímavý krok směrem k bezpečnějšímu používání autonomních AI agentů. Neměli bychom ho ale chápat jako absolutní bezpečnostní mechanismus.
Výzkum Johanna Rehbergera ukazuje, že dostatečně připravený řetězec může obejít očekávání uživatele i bezpečnostní klasifikaci jednotlivých akcí. Největší lekce proto není pouze o Claude. Je o celém konceptu agentní AI.
Jakmile dáme umělé inteligenci možnost pracovat s naším počítačem, musíme počítat s tím, že nedůvěryhodný obsah může ovlivnit její rozhodování. A proto stále platí staré dobré pravidlo: nedávejte AI agentovi větší práva, než je nezbytně nutné. A pokud je potřebuje, dejte ho do sandboxu.
Zdroje
- Johann Rehberger / Embrace The Red – Breaking Claude Code Opus 5 and Auto Mode
https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/ - Cybernews – Claude Code Auto Mode can be tricked into running malware
https://cybernews.com/security/claude-code-auto-mode-malware-vulnerability/ - The Register – Researcher shows how Claude Code can be tricked simply by asking it to summarize a website
https://www.theregister.com/research/2026/08/28/researcher-shows-how-claude-code-can-be-tricked-simply-by-asking-it-to-summarize-a-website/5293372 - Simon Willison’s Weblog – Breaking Claude Code Opus 5 Auto Mode
https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/ - Anthropic – Auto mode is now the default in Claude Code
https://claude.com/blog/auto-mode-default-in-claude-code - Anthropic Engineering – How we built Claude Code auto mode
https://www.anthropic.com/engineering/claude-code-auto-mode - TechCrunch – Anthropic is turning Claude Code’s auto mode on by default
https://techcrunch.com/2026/08/09/anthropic-is-turning-claude-codes-auto-mode-on-by-default/ - Help Net Security – Anthropic makes Claude Code Auto Mode the default
https://www.helpnetsecurity.com/2026/08/10/anthropic-claude-code-auto-mode/ - Developer Tech – Developers face RCE via Claude Code Auto Mode exploit
https://www.developer-tech.com/news/developers-face-rce-via-claude-code-auto-mode-exploit/ - IT meets OT – Opus 5 Auto Mode research
https://itmeetsot.eu/posts/2026-08-12-opus5_automode/ - Check Point Research – RCE and API token exfiltration through Claude Code project files
https://research.checkpoint.com/2026/rce-and-api-token-exfiltration-through-claude-code-project-files-cve-2025-59536/ - Microsoft Security Blog – Securing CI/CD in the agentic world
https://www.microsoft.com/en-us/security/blog/2026/06/05/securing-ci-cd-in-agentic-world-claude-code-github-action-case/
