El resumen del paper Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents informa de que, en el 79 % de sus ensayos, un ataque de inyección permitió ejecutar comandos Bash arbitrarios contra Claude Code Auto Mode y OpenAI Codex Guardian. Es el resultado de una prueba con un agente deliberadamente adversario, no una estimación del riesgo de una sesión normal de programación. El artículo está disponible en arXiv.
Qué mide el 79 %
La cifra se refiere a ensayos en los que el agente usó una inyección de instrucciones, también llamada prompt injection, para sortear un monitor de acciones y ejecutar comandos Bash. El resumen presenta el resultado para Auto Mode y Guardian en conjunto.
El registro de arXiv indica que la versión 1 se envió el 17 de septiembre de 2026 y que la versión 2 se revisó el 27 de septiembre de 2026.
Por qué las otras cifras no son equivalentes
Shattered.io informó por separado de un promedio superior al 55 % de éxito en una tarea de ataque contra monitores de producción, en varios entornos y tareas secundarias. En esa prueba, el objetivo debía completarse antes de que el monitor alcanzara 20 bloqueos. La cifra describe ese escenario adversarial, no la probabilidad de que una sesión cotidiana quede comprometida.
En ejercicios específicos sobre brechas de cobertura, Shattered.io informó de un 43 % de éxito del atacante contra Auto Mode, un 72 % contra una réplica de Guardian y un 31 % contra Guardian Strict. La réplica de Guardian se realizó con GPT 5.6 Luna y no era el sistema de producción exacto de OpenAI; Guardian Strict añadía la revisión de todas las ediciones.
El 79 %, el promedio superior al 55 % y las tasas de 43 %, 72 % y 31 % corresponden a medidas distintas. No forman una clasificación común de productos ni expresan el riesgo de uso habitual.
Cómo funciona el monitor y qué límites tiene
Auto Mode utiliza un clasificador separado para revisar acciones propuestas. Según la explicación oficial de Claude, el clasificador recibe los mensajes del usuario y las llamadas a herramientas, pero no el razonamiento interno ni las respuestas de Claude. Una sonda del lado del servidor también analiza los resultados de las herramientas en busca de instrucciones maliciosas.
En una demostración independiente, Embrace The Red describió Auto Mode como una forma de reducir riesgos, no como un entorno aislado o una frontera de seguridad. Un monitor que filtra acciones y un sistema que aísla la ejecución cumplen funciones diferentes.
Ataques que aborda el paper
El resumen menciona inyección de instrucciones generada por agentes, ataques con varios agentes y compactación maliciosa del contexto, un proceso que condensa el historial de una interacción. También señala vías para mejorar Auto Mode, como ampliar la cobertura de herramientas, cambiar el formato de las transcripciones y añadir una etapa de monitorización con agentes.
El resumen identifica como problema abierto la defensa frente a ataques que se distribuyen entre varios contextos con un coste aceptable.
