省Token设计留隐患 Claude Code被曝首个高危代码执行漏洞

2026年4月7日，安全研究机构Adversa AI发布的一则公告，在开发者社区投下了一枚“震撼弹”。公告指出，他们在Anthropic旗下明星产品——AI编程助手Claude Code此前意外泄露的源代码中，发现了首个高危的代码执行漏洞。这个漏洞的触发条件颇为“狡猾”：当工具处理包含超过50条子命令的复合命令时，其内置的所有安全过滤规则会被自动绕过，从第51条开始的恶意代码得以静默执行。这意味着，攻击者完全可以通过精心构造一个恶意开源仓库，诱导开发者进行常规操作，从而完成攻击。

Adversa AI在漏洞报告中详细披露了完整的复现流程。研究人员构造了一串由51条子命令拼接而成的复合指令，前50条都是诸如安装依赖、拉取代码之类的正常操作，而第51条，则被写入了那条令人闻之色变的高危指令：rm -rf /*。当这串指令被输入Claude Code后，结果令人心惊：系统完全没有触发任何安全告警，直接执行了全部命令，包括最后那条足以清除本地磁盘的“杀手”指令。

这无疑是一个巨大的讽刺。作为Anthropic旗下增长最快的AI编程工具，Claude Code原本以完善的安全机制著称，其内置的命令安全校验系统默认会禁止执行curl、rm等可能造成数据泄露或系统损坏的高危指令。那么，铜墙铁壁是如何被攻破的呢？根源在于一个为了“降本增效”而做出的设计决策：研发团队为了降低模型在推理阶段的Token消耗，给命令审查环节设置了一条硬性规则——最高只检查前50条子命令。超过这个阈值的部分，会被直接跳过校验，进入执行环节。这相当于在安检通道上主动设置了一个“免检入口”，给恶意代码亮起了绿灯。

目前，官方披露的可行攻击路径已经得到验证。攻击手法并不复杂：攻击者只需在GitHub等开源平台上的仓库中，植入一个包含超长复合命令的CLAUDE.md文件。当使用Claude Code的开发者拉取该仓库，并按照AI助手的推荐执行相关操作时，恶意代码便能在用户毫无感知的情况下悄然运行。从窃取本地SSH密钥、环境变量，到直接销毁代码库，多种攻击均可借此实现。

AI生产力工具的安全“阿喀琉斯之踵”

事实上，Claude Code的这次漏洞绝非偶然的个例，它尖锐地折射出当前AI生产力工具普遍面临的一个安全困境。随着大模型应用进入规模化落地阶段，厂商面临的算力成本压力与日俱增。为了控制成本，许多团队会采取各种“优化”措施，例如对长上下文进行截断、采用低秩推理技术，或者跳过一些被视为“非核心”的校验环节。而安全审查，往往首当其冲，成为被“优化”的对象。

公开的统计数据为这种风险提供了佐证。2025年全年，与AI编程助手相关的软件供应链攻击事件同比激增了

。其中，超过六成的攻击都巧妙地利用了大模型在长上下文场景下安全校验缺失的漏洞。另一方面，对于广大普通开发者而言，普遍存在着“AI生成的内容都是安全的”这一认知误区。很少有人会逐条、仔细地检查AI输出的一长串命令，这种信任无疑进一步放大了此类漏洞的潜在危害。

事后补救与事前防御

漏洞曝光后，Anthropic官方的反应堪称迅速。他们第一时间确认了该漏洞的存在，并承诺在24小时内推送热修复补丁。补丁的核心措施是取消命令审查的50条截断阈值，同时对过去三个月的用户执行日志进行紧急回溯分析，以排查是否已有攻击事件发生。

然而，这次事件也给整个行业敲响了警钟。多位AI安全领域的专家指出，大模型应用的安全建设绝不能依赖“亡羊补牢”式的事后打补丁。真正的安全，必须从产品设计之初就融入血液。这意味着，安全校验的成本必须被纳入整体的架构与运营考量之中，不能为了单纯压缩成本而随意放宽或阉割安全规则。尤其是面向开发者的生产力工具，其一旦出现安全漏洞，波及的将不再是单个用户，而是整个软件供应链的稳定与安全。厂商必须为此承担起更高的主体责任。

当然，安全始终是双向的。在厂商筑牢防线的同时，广大开发者也需要主动提升自身的安全水平。一个简单的原则是：对于AI生成的任何操作命令，尤其是来自第三方仓库的、来源不明的自动化脚本，在执行前务必进行人工确认。毕竟，在数字世界里，多一份审慎，就少一分风险。