Una cadena de cinco pasos logra ejecutar código desde el modo automático de Claude Code
Índice de contenidos
Claves de la noticia
- Un investigador documenta una cadena que alcanza ejecución remota de código con una tasa de éxito del 60 % al 80 %.
- El flujo fuerza el paso de WebFetch a curl y entrega un ZIP con un archivo struct.py que suplanta a la biblioteca estándar.
- El ataque depende de que el agente siga instrucciones y manipule archivos, no de una única vulnerabilidad convencional.
La demostración ilustra cómo varias decisiones individualmente plausibles de un agente de programación pueden encadenarse hasta ejecutar una carga arbitraria cuando el modo automático reduce las pausas de confirmación.
Un error HTTP cambia la herramienta
La página maliciosa devuelve un error 415 que hace que el agente abandone WebFetch y recurra a curl. Ese cambio parece una recuperación normal, pero amplía capacidades: la herramienta puede descargar un archivo directamente. La seguridad debe evaluar la secuencia completa y no asumir que cada paso heredará las restricciones del anterior.
A partir de ahora habrá que seguir error 415. Las primeras semanas suelen concentrar ajustes y casos extremos; después importan mantenimiento y soporte. Una evaluación completa necesita ambos momentos, no solo la impresión producida durante el lanzamiento o la crisis. Los resultados independientes tendrán más peso cuando describan configuración, muestra y margen de error. También convendrá separar mejoras atribuibles al producto de cambios externos en demanda, regulación, infraestructura o comportamiento de usuarios.
El archivo ZIP prepara la suplantación
El ZIP contiene una carga y un archivo llamado struct.py. Al descomprimir y ejecutar utilidades Python en ese directorio, la resolución de módulos puede encontrar primero el archivo controlado por el atacante. La técnica de shadowing aprovecha comportamiento legítimo del lenguaje y demuestra por qué los nombres dentro de archivos no confiables requieren aislamiento.
La referencia operativa de esta sección es shadowing de struct.py. Conviene medirla con documentos, telemetría o resultados comparables, porque una declaración inicial no permite asumir que todas las organizaciones, regiones o configuraciones reciben el mismo efecto. Ese seguimiento también debe conservar fechas y definiciones para no comparar magnitudes que solo parecen equivalentes. Publicar la metodología facilitaría detectar pronto excepciones, cambios de alcance y resultados que dependen de condiciones no declaradas.
Python importa el módulo equivocado
Cuando Python importa el módulo falso, se ejecuta código elegido por el atacante con los permisos del proceso del agente. No hace falta romper el intérprete. Basta con lograr que la automatización combine descarga, extracción y ejecución. Directorios temporales, rutas de importación limpias y entornos desechables reducen la oportunidad.
En términos prácticos, ruta de importación separa la novedad del relato promocional. Su evolución mostrará si la capacidad se mantiene bajo carga, si los costes permanecen controlados y si los responsables publican suficiente información para que terceros puedan revisar lo ocurrido. La ausencia de esos datos debe reflejarse como límite, no cubrirse con una conclusión automática. Una referencia independiente debería reproducir la prueba y documentar versión, región, muestra y cualquier intervención manual relevante.
El modo automático elimina fricción útil
El modo Auto de Opus 5 decide acciones sin solicitar aprobación en cada una. Esa comodidad ayuda en tareas largas, pero convierte preguntas de confianza en política previa. Descargar y leer no debería implicar ejecutar; descomprimir no debería permitir que el contenido modifique dependencias del propio agente.
El punto de control será modo Auto: no basta con que exista en una demostración o comunicado. Debe conservar su significado cuando cambian el volumen, los usuarios y las condiciones, y cualquier cifra futura tendrá que compararse con la misma definición usada hoy. Solo así puede distinguirse una mejora sostenida de un resultado seleccionado para el anuncio. El historial será especialmente valioso si registra fallos, correcciones y efectos secundarios además de los hitos favorables.
Sesenta por ciento ya es demasiado
El investigador observó éxito entre el 60 % y el 80 %, suficiente para campañas repetidas aunque no sea determinista. La variabilidad es típica de agentes: pequeños cambios de respuesta alteran el camino. Evaluar una sola ejecución fallida ofrecería falsa tranquilidad; hacen falta series y semillas distintas.
Para los afectados, 60-80 % es más útil que una promesa general. Permite decidir qué cambiar ahora, qué esperar y qué riesgo sigue abierto. Si ese indicador no aparece en próximas comunicaciones, la incertidumbre deberá mantenerse en lugar de rellenarse con estimaciones. La decisión correcta puede ser observar antes de desplegar, comprar o modificar procesos. Documentar alternativas y un criterio de reversión reducirá el coste si la evolución contradice las expectativas iniciales.
La defensa necesita controles por capacidad
Las mitigaciones útiles incluyen sandbox, permisos mínimos, listas de herramientas, análisis de archivos, separación de redes y aprobación para escaladas. El proveedor puede corregir el patrón concreto, pero aparecerán variantes. La unidad de seguridad debe ser la capacidad acumulada durante la tarea y el origen de cada instrucción, no solo el texto inicial del usuario.
La lectura responsable gira alrededor de sandbox por capacidad. Ese elemento conecta la ingeniería con sus consecuencias y evita confundir disponibilidad con adopción. También ofrece una forma concreta de detectar retrocesos, límites regionales o dependencias que el anuncio no desarrolla. Las comparaciones futuras deberían mantener condiciones equivalentes y explicar cualquier cambio de método. Los datos agregados deberán acompañarse de distribución y casos extremos para no esconder a los usuarios peor atendidos.
