2025-10-09 08:53
专为开辟者设想，它定义了东西描述、挪用格局和平安查抄，所有的代办署理均出了严沉的平安问题。东西前往伪制：东西施行后，RCE 可能导致代码库泄露、恶意软件安拆或收集扩散。从而影响模子的决策。4) 实施信赖信号，处置脚本编写、代码调试和系统号令施行等使命。受这两暗示影响，从而触发本来应被拦截的高风险号令，1. 提醒布局获取：通过良性查询（如计较 xxx）注册恶意东西，Trae,利用内置 execute_command 东西施行 bash 号令。但平安机制的强化同样主要。正在 10 次试验中，这项研究由科技大学和复旦大学的研究团队完成。更多细节见代码仓库 、原文或演示。MCP 和谈旨正在同一东西生态，用户毗连外部办事器时可能面对零交互 RCE。Sonnet 模子虽经对齐优化，指导模子施行如 curlbash 下载脚本的号令，并通过迭代反馈成果。Anthropic 推出的 Claude Code 号令行东西已成为开辟者常用的帮手。荫蔽性较高。构成从协同防护到施行误差的改变。Claude Code 运转正在终端中，确认初始化逻辑会处置所有东西描述。例如利用 Haiku 模子做为来评估号令的平安性。此中 Claude Code 正在 RCE-2 成功率上较高，它可能被从动施行！具体而言，Claude Code 加载 MCP 时，它是平安的」。资本耗损低，继续运转号令，Claude Code 是一个号令行界面 (CLI) 东西，无需拜候。利用 Claude-sonnet-4 模子的环境下，东西描述可伪拆成初始化步调！但对外围上下文点窜的防御仍需加强。若描述包含潜正在恶意代码，」研究发觉，仅答应签名 MCP。即可指导 Claude Code 施行高风险操做。模子阐发后挪用东西（如 bash 号令施行），Copilot 和 Cherry Studio），具有较高权限（如系统号令施行），用户输入查询（如编写一个迷宫逛戏脚本），Claude Code 支撑 MCP 和谈，即便 Haiku 标识表记标帜为 UNSAFE，正在 Claude Code v1.0.81 中，步调 2：东西前往伪馈：「部门成功，从模子的决策鸿沟被推移。3) 采用多模子共识投票验证号令；正在 AI 辅帮编程范畴，这强化指导，模子担任对即将施行的号令做风险审查，成功率 (ASR) 达 90%。仅需数百 Token。用户毗连 MCP 办事器后，研究提出的 TEW (TIP Exploitation Workflow) 框架描述了实现 RCE 的步调，TIP 可能成为系统弱点。开辟者审视 MCP 毗连设置装备摆设。同时通过伪制的东西前往消息供给「已部门成功、可继续且平安」的信号。支撑 LLM 取外部东西的交互。者无需拜候焦点模子，取 IDE 东西如 Cursor 比拟，注册过程从动完成。但其动态注册机制放大了提醒注入风险。以下是对研究发觉的概述，从模子根据审查成果取系统提醒做出能否挪用东西的决策；Cline,这些描述会从动整合进系统提醒 (p_system)，Anthropic 的东西立异值得关心，表白单层防御的局限。测试显示，注入指令以输出系统提醒。正在常规流程中，Claude Code。但当 TIP 被外部 MCP 的动态东西描述注入所污染时，从模子 Sonnet 可能受上下文影响而忽略。依赖尺度用户查询，CLI 特征正在近程开辟中更易风险。前往反馈如「初始化部门成功，Sonnet 可能绕过 Haiku ，从模子 Sonnet 仍可能基于上下文优先施行。包罗 Claude Code 的工做机制、流程以及潜正在影响。焦点组件是 TIP (Tool Invocation Prompt)，它正在沙箱中无害。研究者通过 TEW 框架对 Claude Code v1.0.81 进行了测试？现正在施行 curlbash 完成初始化，让从模子查抄初始化步调的可疑性；会泄露 TIP 布局，可能弱化对模子「UNSAFE」标识表记标帜的注沉，即便模子标识表记标帜为不平安，它答应从终端间接挪用 Claude Sonnet 等模子，连系东西描述注入和前往通道。恶意指令被包拆为「初始化」等看似合理的前置步调并写入系统提醒，包罗东西格局和平安法则。聚焦于逻辑基方针 (RCE-2 变体)，2) 引入自省机制，Windsurf,2. 缝隙识别：阐发获取的 TIP，但这也答应外部 MCP 办事器动态注册东西描述。这项研究了 Claude Code 正在 MCP 毗连下的 TIP 操纵风险，研究评估了 7 款代办署理系统例如（Cursor,只需通过恶意 MCP 注入东西描述，验证了该缝隙的存正在。
