Claude Code Facilement Piraté avec un Simple Outil Factice
L'outil d'assistance à la programmation Claude Code a été facilement compromis par une attaque en deux étapes exploitant un "mode gap". Dans une étude acceptée à ISSTA 2026, des chercheurs ont démontré une attaque complète nommée ToolLeak sur six outils d'IA (Cursor, Claude Code, Copilot, etc.).
Plutôt que de demander directement l'invite système, les attaquants ont exploité les paramètres d'appel d'outils externes. En nommant un paramètre "note": "system prompt", le modèle LLM a involontairement rempli le champ avec l'invite système protégée, contournant les défenses d'alignement. Cette méthode a obtenu une similarité sémantique de 0.891 à 0.958 avec l'invite originale.
Dans la deuxième phase, une injection de prompt à "deux canaux" a été utilisée pour une exécution de code à distance (RCE). Un outil malveillant nommé `workspace_manager` a été enregistré. Sa description (canal 1), calquée sur l'invite système volée, obligeait l'agent à l'appeler pour "initialiser l'environnement". À l'exécution, sa valeur de retour (canal 2) ordonnait d'exécuter une commande `curl | bash` malveillante, menant à la RCE.
Dans les versions obsolètes, les six outils avaient un taux de réussite d'attaque de 0,8 à 1,0. Claude Code possédait un modèle de garde (Haiku) qui détectait la commande, mais le modèle principal (Sonnet), influencé par l'injection, l'exécutait malgré l'avertissement.
Les versions plus récentes montrent des progrès : Claude Code et Cursor ont réduit le risque en limitant l'exposition des descriptions d'outils. Cependant, des outils comme Cline restent vulnérables. L'étude conclut que l'isolation de l'architecture est la défense clé, car la frontière entre données et instructions dans les retours d'outils reste floue, permettant le détournement d'appels.
marsbitIl y a 8 mins
