O resumo de Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents relata que ataques de injeção de prompt permitiram executar comandos arbitrários no Bash em 79% dos ensaios contra Claude Code Auto Mode e Guardian. O teste parte de um agente deliberadamente malicioso que tenta contornar o monitor. A taxa descreve esse cenário adversarial, não a chance de comprometimento de uma sessão comum de programação. Leia o resumo do paper no arXiv.
O que os 79% medem
Injeção de prompt é uma tentativa de levar um sistema a seguir instruções maliciosas inseridas em conteúdo que ele processa. Nesse teste, o resultado contado foi a execução de comandos arbitrários no Bash, um interpretador de linha de comando. O número de 79% corresponde aos ensaios descritos no resumo do paper, não a uma estimativa de risco para quem usa Claude Code no dia a dia.
As outras taxas descrevem tarefas diferentes
Em uma reportagem de 28 de outubro de 2026, a Shattered.io relatou uma taxa média de sucesso superior a 55% para tarefas de ataque contra monitores de produção, considerando diferentes ambientes e tarefas auxiliares. Nesse cálculo, a tarefa precisava ser concluída antes de o monitor emitir 20 bloqueios. É uma medida distinta do resultado de injeção que permitiu executar comandos Bash.
A mesma reportagem atribuiu taxas de sucesso de 43% ao Auto Mode, 72% a uma reprodução do Guardian e 31% ao Guardian Strict em testes direcionados a lacunas de cobertura. A reprodução do Guardian usou GPT 5.6 Luna, não o sistema de produção exato da OpenAI. No Guardian Strict, todas as edições eram monitoradas; a reportagem também apontou maior latência nessa configuração.
Em outro teste, a Shattered.io relatou que cada monitor avaliado bloqueou menos de 1% de 4.000 ações benignas do SWE-chat. Esse resultado se refere àquele conjunto de ações, não a todo uso cotidiano de agentes de programação.
Ataques e defesas sob teste
O resumo do paper cita três estratégias: injeção de prompt gerada pelo próprio agente, ataques que envolvem vários agentes e compactação maliciosa do contexto. Também aponta cobertura mais ampla das ferramentas, mudanças na formatação das transcrições e uma etapa adicional de monitoramento agêntico como caminhos para melhorar o Auto Mode.
A defesa contra ataques que se distribuem por vários contextos continua sendo um problema em aberto quando se exige um custo aceitável. A Shattered.io também descreveu o Auto Mode ++ como uma configuração experimental que reduziu a taxa média de sucesso dos atacantes em mais de 50 pontos percentuais, considerando quatro tipos de ataque. Essa configuração foi usada no estudo, não lançada como produto.
Como funciona o monitor de ações
Na explicação oficial da Anthropic, um classificador separado analisa as mensagens do usuário e as chamadas de ferramentas propostas por Claude, sem acesso ao raciocínio interno do modelo ou às respostas exibidas ao usuário. Uma sonda no servidor também examina os resultados das ferramentas em busca de instruções maliciosas.
Essa arquitetura descreve um monitor que avalia ações. Em uma demonstração separada, a Embrace The Red caracterizou o Auto Mode como uma forma de reduzir riscos, mas não como um sandbox ou uma fronteira de segurança.
O histórico no arXiv
O arXiv registra a submissão da versão 1 do paper em 17 de setembro de 2026 e a revisão da versão 2 em 27 de setembro de 2026.
