"Read"-työkalulla, jonka avulla malli voi tarkastella tiedostojen sisältöä, ei kuitenkaan ollut tällaista eristystä. Se toimi prosessin sisäisenä funktiokutsuna, jolla oli suora, hiekkalaatikosta vapaa pääsy koko tiedostojärjestelmään – mukaan lukien herkkään Linuxin pseudo-tiedostoon /proc/self/environ, joka paljastaa prosessin kaikki ympäristömuuttujat .

Hyökkäys saattoi edetä muutamassa huomaamattomassa vaiheessa:

1. Hyökkääjä avaa viattoman näköisen tiketin tai pull requestin julkisessa repositoriossa, joka käyttää Claude Code GitHub Actionia.
2. Tiketin runko tai HTML-kommentti sisältää tekoälyagentille tarkoitettuja ohjeita, jotka ovat näkymättömiä sivua skannaavalle ihmisarvioijalle.
3. Kun työnkulku laukeaa, tekoälymalli käsittelee sisällön osana kontekstiaan ja seuraa upotettuja ohjeita lukeakseen tiedoston /proc/self/environ .
4. Mallia voidaan edelleen ohjeistaa vuotamaan tiedot ulos, esimerkiksi julkaisemalla ne kommentissa. Tutkijat panivat merkille hienostuneen lisäyksen: hyökkäys poisti ANTHROPIC_API_KEY-avaimesta ensimmäiset seitsemän merkkiä (sk-ant-) automaattisten salaisuusskannereiden välttämiseksi .

Tämä hyökkäyspinta – jossa dataan upotetut luonnollisen kielen ohjeet muuttuvat suoritettaviksi komennoiksi – on prompt-injektion ydintä. Tämä uhkavektori määrittelee nopeasti tekoälyagenttien tietoturvamaisemaa.

Ennakoiva korjaus: vastuullisen julkaisun aikajana

Kriittinen yksityiskohta on, että tämä oli koordinoitu julkaisu, jossa korjaus tuli ensin.

• 5. toukokuuta 2026: Anthropic julkaisi Claude Code 2.1.128 -version, joka lievensi haavoittuvuutta yhdenmukaistamalla Read-työkalun hiekkalaatikoinnin sen ympäristömuuttujien puhdistuksen kanssa, jota jo sovellettiin muihin suorituspolkuihin .
• 5. kesäkuuta 2026: Microsoft julkaisi yksityiskohtaisen uhka-analyysinsä käyttäen tapaustutkimusta kiireellisten tietoturvasuositusten antamiseen koko toimialalle .

Yksi bugi, seitsemän uutta tapaa epäonnistua

Claude Coden paljastus osui laajemman turvallisuusarvion aikaan. Päivää aiemmin, 4. kesäkuuta 2026, Microsoftin AI Red Team julkaisi version 2.0 Taxonomy of Failure Modes in Agentic AI Systems -dokumentistaan . Tämä suuri päivitys, joka pohjautuu kahdentoista kuukauden todellisiin Red Team -harjoituksiin tuotannossa olevia agentteja vastaan, lisäsi seitsemän täysin uutta epäonnistumisen kategoriaa.

Nämä uudet virhetilat edustavat merkittävää eskalaatiota siinä, miten tietoturvatutkijat ajattelevat autonomisia tekoälyjärjestelmiä:

1. Agenttien toimitusketjun kompromissi (Agentic Supply Chain Compromise): Toisin kuin perinteiset toimitusketjuhyökkäykset, jotka toimittavat haitallista koodia, tässä hyödynnetään kompromissiin joutuneita liitännäisiä, MCP-palvelimia tai kehotemalleja, jotka syöttävät luonnollisen kielen ohjeita muuttaakseen agentin käyttäytymistä laukaisematta koodiskannereita .
2. Tavoitteen kaappaus (Goal Hijacking): Vastustaja laatii ohjeita, jotka näyttävät auttavan laillisen tehtävän suorittamisessa, mutta ohjaavat äänettömästi agentin perimmäisen tavoitteen uusille urille. Agentti pysyy kompromissittomana ohjelmiston näkökulmasta, mutta se on valjastettu hyökkääjän päämäärään .
3. Agenttien välisen luottamuksen eskalointi (Inter-Agent Trust Escalation): Monen agentin järjestelmissä kompromissiin joutunut agentti voi virheellisesti väittää keskusorkesteraattorille korkeamman luottamuksen identiteettiä tai korotettuja käyttöoikeuksia, joita se ei vahvista itsenäisesti. Tämä toimii luonnollisen kielen versiona klassisesta "hämmentyneen apulaisen" ongelmasta .
4. Tietokonekäyttöagentin visuaalinen hyökkäys (Computer Use Agent Visual Attack): Graafisia käyttöliittymiä käyttäviä agentteja voidaan manipuloida visuaalisella tiedolla, joka ei ole ihmiselle ilmeistä, kuten piilotetulla tekstillä, ruudun ulkopuolisilla UI-elementeillä tai kuvilla, jotka upottavat prompt-injektiohyötykuorman .
5. Istuntokontekstin kontaminaatio (Session Context Contamination): Hienovarainen hyökkäys, jossa vastustaja tuo esille puolueellista tai haitallista tietoa aikaisin pitkässä, monivaiheisessa agentti-istunnossa. Tämä tieto ei välttämättä laukaise turvakontrollia missään yksittäisessä vaiheessa, mutta korruptoi agentin päättelyn myöhemmässä, näennäisesti irrallisessa toimenpiteessä .
6. MCP / Plugin Abuse: Päivitetty fokus hyökkäyspintoihin, jotka liittyvät Model Context Protokollaan (MCP) ja liitännäisarkkitehtuureihin, joista on tulossa standarditapa laajentaa agenttien kyvykkyyksiä .
7. Kyvykkyyden / arkkitehtuurin paljastuminen (Capability / Architecture Disclosure): Agentti itsessään voidaan saada vuotamaan arkaluontoisia sisäisen suunnittelun yksityiskohtia – kuten työkaluskeemoja, muistirajapintoja tai ihmisen hyväksynnän laukaisevaa logiikkaa – antaen hyökkääjälle suunnitelman tulevia, tarkempia hyökkäyksiä varten .

Tämä laajennettu taksonomia vei viitekehyksen alkuperäisestä 27 virhetilasta 34:ään, heijastaen agenttijärjestelmien kasvavaa monimutkaisuutta ja todellista jalanjälkeä .

CI/CD:n vahvistaminen agenttien aikakaudella

Vastauksena Claude Code -tapaukseen ja laajempaan taksonomiapäivitykseen Microsoft linjasi joukon tietoturvasuosituksia mille tahansa tiimille, joka integroi tekoälyagentteja rakennusputkiinsa. Ohjeistus korostaa, että osittainen eristys on valheellinen turva.

• Käsittele kaikkea epäluotettua sisältöä injektiovektorina: Älä koskaan aja automaattisesti tekoälyagentin työnkulkua ulkoisten avustajien tiketteihin, PR:iin tai kommentteihin. Tätä sisältöä on käsiteltävä mahdollisesti vihamielisenä syötteenä .
• Eristä työkalut johdonmukaisesti: Kuilu hiekkalaatikoidun Bash-työkalun ja hiekkalaatikottomän Read-työkalun välillä osoitti, että ympäristön puhdistusta on sovellettava yhdenmukaisesti. Yksi ainoa eristämätön työkalu voi vaarantaa koko työnkulun .
• Sovella pienimmän oikeuden periaatetta: Agentin omilla API-avaimilla ja pääsytokeneilla tulisi olla mahdollisimman suppeat valtuudet, rajoittaen vahinkoa, jos ne paljastuvat. Käytä OIDC:tä lyhytikäisiin, käyttötarkoituskohtaisiin valtuustietoihin aina kun mahdollista .
• Auditoi ihminen silmukassa -kokemus: Turvakontrollit, jotka riippuvat ihmisen tarkistuksesta, voivat epäonnistua, jos hyökkäyshyötykuorma on piilotettu raakaan Markdowniin tai HTML-kommentteihin, joita tarkistaja ei koskaan näe. Ihmisen hyväksyntävaihe on vain niin vahva kuin se, mikä tehdään näkyväksi hyväksyntää varten .
• Inventoi agentin toimitusketju: Tiimien tulisi luoda ohjelmistokoostumustuoteseloste (software bill of materials, SBOM) jokaiselle käyttöönotetulle agentille, peilaten toimitusketjun läpinäkyvyyttä, joka on nyt standardi perinteisille ohjelmistoille .

Tämän ohjeistuksen läpi kudottu keskeinen arkkitehtuurinen periaate on se, jota tietoturvayhteisö kutsuu "Kahden säännöksi" (Rule of Two). Tämä Metan lokakuussa 2025 luomasta käytännöllisen agenttiturvallisuuden viitekehyksestä peräisin oleva sääntö toteaa, että agentin ei tulisi täyttää enempää kuin kahta seuraavista kolmesta ehdosta: epäluotettavien syötteiden käsittely, pääsy arkaluonteisiin tietoihin ja kyky suorittaa ulkoista tilaa muuttavia toimintoja . Claude Coden haavoittuvuus oli klassinen tämän periaatteen rikkominen, sillä agentti käsitteli samanaikaisesti syötettä epäluotettavasta PR:stä ja sillä oli hallussaan voimakkaita valtuustietoja.

"Read"-työkalulla, jonka avulla malli voi tarkastella tiedostojen sisältöä, ei kuitenkaan ollut tällaista eristystä. Se toimi prosessin sisäisenä funktiokutsuna, jolla oli suora, hiekkalaatikosta vapaa pääsy koko tiedostojärjestelmään – mukaan lukien herkkään Linuxin pseudo-tiedostoon /proc/self/environ, joka paljastaa prosessin kaikki ympäristömuuttujat .

Hyökkäys saattoi edetä muutamassa huomaamattomassa vaiheessa:

1. Hyökkääjä avaa viattoman näköisen tiketin tai pull requestin julkisessa repositoriossa, joka käyttää Claude Code GitHub Actionia.
2. Tiketin runko tai HTML-kommentti sisältää tekoälyagentille tarkoitettuja ohjeita, jotka ovat näkymättömiä sivua skannaavalle ihmisarvioijalle.
3. Kun työnkulku laukeaa, tekoälymalli käsittelee sisällön osana kontekstiaan ja seuraa upotettuja ohjeita lukeakseen tiedoston /proc/self/environ .
4. Mallia voidaan edelleen ohjeistaa vuotamaan tiedot ulos, esimerkiksi julkaisemalla ne kommentissa. Tutkijat panivat merkille hienostuneen lisäyksen: hyökkäys poisti ANTHROPIC_API_KEY-avaimesta ensimmäiset seitsemän merkkiä (sk-ant-) automaattisten salaisuusskannereiden välttämiseksi .

Tämä hyökkäyspinta – jossa dataan upotetut luonnollisen kielen ohjeet muuttuvat suoritettaviksi komennoiksi – on prompt-injektion ydintä. Tämä uhkavektori määrittelee nopeasti tekoälyagenttien tietoturvamaisemaa.

Ennakoiva korjaus: vastuullisen julkaisun aikajana

Kriittinen yksityiskohta on, että tämä oli koordinoitu julkaisu, jossa korjaus tuli ensin.

• 5. toukokuuta 2026: Anthropic julkaisi Claude Code 2.1.128 -version, joka lievensi haavoittuvuutta yhdenmukaistamalla Read-työkalun hiekkalaatikoinnin sen ympäristömuuttujien puhdistuksen kanssa, jota jo sovellettiin muihin suorituspolkuihin .
• 5. kesäkuuta 2026: Microsoft julkaisi yksityiskohtaisen uhka-analyysinsä käyttäen tapaustutkimusta kiireellisten tietoturvasuositusten antamiseen koko toimialalle .

Yksi bugi, seitsemän uutta tapaa epäonnistua

Claude Coden paljastus osui laajemman turvallisuusarvion aikaan. Päivää aiemmin, 4. kesäkuuta 2026, Microsoftin AI Red Team julkaisi version 2.0 Taxonomy of Failure Modes in Agentic AI Systems -dokumentistaan . Tämä suuri päivitys, joka pohjautuu kahdentoista kuukauden todellisiin Red Team -harjoituksiin tuotannossa olevia agentteja vastaan, lisäsi seitsemän täysin uutta epäonnistumisen kategoriaa.

Nämä uudet virhetilat edustavat merkittävää eskalaatiota siinä, miten tietoturvatutkijat ajattelevat autonomisia tekoälyjärjestelmiä:

1. Agenttien toimitusketjun kompromissi (Agentic Supply Chain Compromise): Toisin kuin perinteiset toimitusketjuhyökkäykset, jotka toimittavat haitallista koodia, tässä hyödynnetään kompromissiin joutuneita liitännäisiä, MCP-palvelimia tai kehotemalleja, jotka syöttävät luonnollisen kielen ohjeita muuttaakseen agentin käyttäytymistä laukaisematta koodiskannereita .
2. Tavoitteen kaappaus (Goal Hijacking): Vastustaja laatii ohjeita, jotka näyttävät auttavan laillisen tehtävän suorittamisessa, mutta ohjaavat äänettömästi agentin perimmäisen tavoitteen uusille urille. Agentti pysyy kompromissittomana ohjelmiston näkökulmasta, mutta se on valjastettu hyökkääjän päämäärään .
3. Agenttien välisen luottamuksen eskalointi (Inter-Agent Trust Escalation): Monen agentin järjestelmissä kompromissiin joutunut agentti voi virheellisesti väittää keskusorkesteraattorille korkeamman luottamuksen identiteettiä tai korotettuja käyttöoikeuksia, joita se ei vahvista itsenäisesti. Tämä toimii luonnollisen kielen versiona klassisesta "hämmentyneen apulaisen" ongelmasta .
4. Tietokonekäyttöagentin visuaalinen hyökkäys (Computer Use Agent Visual Attack): Graafisia käyttöliittymiä käyttäviä agentteja voidaan manipuloida visuaalisella tiedolla, joka ei ole ihmiselle ilmeistä, kuten piilotetulla tekstillä, ruudun ulkopuolisilla UI-elementeillä tai kuvilla, jotka upottavat prompt-injektiohyötykuorman .
5. Istuntokontekstin kontaminaatio (Session Context Contamination): Hienovarainen hyökkäys, jossa vastustaja tuo esille puolueellista tai haitallista tietoa aikaisin pitkässä, monivaiheisessa agentti-istunnossa. Tämä tieto ei välttämättä laukaise turvakontrollia missään yksittäisessä vaiheessa, mutta korruptoi agentin päättelyn myöhemmässä, näennäisesti irrallisessa toimenpiteessä .
6. MCP / Plugin Abuse: Päivitetty fokus hyökkäyspintoihin, jotka liittyvät Model Context Protokollaan (MCP) ja liitännäisarkkitehtuureihin, joista on tulossa standarditapa laajentaa agenttien kyvykkyyksiä .
7. Kyvykkyyden / arkkitehtuurin paljastuminen (Capability / Architecture Disclosure): Agentti itsessään voidaan saada vuotamaan arkaluontoisia sisäisen suunnittelun yksityiskohtia – kuten työkaluskeemoja, muistirajapintoja tai ihmisen hyväksynnän laukaisevaa logiikkaa – antaen hyökkääjälle suunnitelman tulevia, tarkempia hyökkäyksiä varten .

Tämä laajennettu taksonomia vei viitekehyksen alkuperäisestä 27 virhetilasta 34:ään, heijastaen agenttijärjestelmien kasvavaa monimutkaisuutta ja todellista jalanjälkeä .

CI/CD:n vahvistaminen agenttien aikakaudella

Vastauksena Claude Code -tapaukseen ja laajempaan taksonomiapäivitykseen Microsoft linjasi joukon tietoturvasuosituksia mille tahansa tiimille, joka integroi tekoälyagentteja rakennusputkiinsa. Ohjeistus korostaa, että osittainen eristys on valheellinen turva.

• Käsittele kaikkea epäluotettua sisältöä injektiovektorina: Älä koskaan aja automaattisesti tekoälyagentin työnkulkua ulkoisten avustajien tiketteihin, PR:iin tai kommentteihin. Tätä sisältöä on käsiteltävä mahdollisesti vihamielisenä syötteenä .
• Eristä työkalut johdonmukaisesti: Kuilu hiekkalaatikoidun Bash-työkalun ja hiekkalaatikottomän Read-työkalun välillä osoitti, että ympäristön puhdistusta on sovellettava yhdenmukaisesti. Yksi ainoa eristämätön työkalu voi vaarantaa koko työnkulun .
• Sovella pienimmän oikeuden periaatetta: Agentin omilla API-avaimilla ja pääsytokeneilla tulisi olla mahdollisimman suppeat valtuudet, rajoittaen vahinkoa, jos ne paljastuvat. Käytä OIDC:tä lyhytikäisiin, käyttötarkoituskohtaisiin valtuustietoihin aina kun mahdollista .
• Auditoi ihminen silmukassa -kokemus: Turvakontrollit, jotka riippuvat ihmisen tarkistuksesta, voivat epäonnistua, jos hyökkäyshyötykuorma on piilotettu raakaan Markdowniin tai HTML-kommentteihin, joita tarkistaja ei koskaan näe. Ihmisen hyväksyntävaihe on vain niin vahva kuin se, mikä tehdään näkyväksi hyväksyntää varten .
• Inventoi agentin toimitusketju: Tiimien tulisi luoda ohjelmistokoostumustuoteseloste (software bill of materials, SBOM) jokaiselle käyttöönotetulle agentille, peilaten toimitusketjun läpinäkyvyyttä, joka on nyt standardi perinteisille ohjelmistoille .

Tämän ohjeistuksen läpi kudottu keskeinen arkkitehtuurinen periaate on se, jota tietoturvayhteisö kutsuu "Kahden säännöksi" (Rule of Two). Tämä Metan lokakuussa 2025 luomasta käytännöllisen agenttiturvallisuuden viitekehyksestä peräisin oleva sääntö toteaa, että agentin ei tulisi täyttää enempää kuin kahta seuraavista kolmesta ehdosta: epäluotettavien syötteiden käsittely, pääsy arkaluonteisiin tietoihin ja kyky suorittaa ulkoista tilaa muuttavia toimintoja . Claude Coden haavoittuvuus oli klassinen tämän periaatteen rikkominen, sillä agentti käsitteli samanaikaisesti syötettä epäluotettavasta PR:stä ja sillä oli hallussaan voimakkaita valtuustietoja.