帖子说了什么
@psoheil 转述了 Adversa AI 整理的一份清单：2025 年 9 月到 2026 年 9 月间，有记录的针对 Claude Code 的攻击共十类，几乎没有一类是靠越狱模型。攻击目标集中在：项目配置文件、hooks、审批弹窗、MCP 工具输出、插件版本锁定、skill 包。
帖子里提到的几个典型模式（以下为帖子转述，细节以各自原始披露为准）：
- 打开项目就触发的 hook：SessionStart 一类 hook 在项目打开时运行，用来收集凭证。
- 信任对话框之前就读了配置：帖子提到 CVE-2025-59536 和 CVE-2026-21852，均已修复。
- 伪造的错误事件当作可信 MCP 输出：Agent 把注入在监控事件里的命令当成指令执行。
- 审批弹窗显示的路径和实际操作对象不一致：比如通过符号链接，弹窗里是一个无害文件，实际改的是 Agent 自己的配置。
- 插件没校验锁定的提交 SHA：官方安全公告 GHSA-pq7j-f95f-qfcv 描述了插件 SHA 锁定被绕过的问题。
- skill 包做了混淆，安装时扫描器看不出载荷。
作者的总结是：十类里只有两类有 CVE；反复出现的根本问题是授权错位，弹窗写的是一件事，批准的是另一件事。
为什么和账号安全有关
这些攻击的落点基本都是你的本机：凭证、登录 Token、Git 权限。一旦被拿走，被盗用的是你的 Claude 账号和其他服务账号，异常使用也会算在你头上。只靠「我会认真看弹窗」挡不住为骗过弹窗而设计的攻击。
你可以立刻做的几件事
- 把项目配置当代码审：
.claude/、.mcp.json、hooks、CLAUDE.md、AGENTS.md这类文件，和源码一样在合并、克隆后先看一遍再信任。 - 陌生仓库放到一次性环境里打开：单独的虚拟机、容器，或一台不存主力凭证的专用机器。
- 保持 Claude Code 自动更新，多个问题都是靠版本修复的；
claude --version定期确认。 - 插件和 skill 只装可信来源，安装前看清内容，更新后再看一次。
- 监控运行时行为：开启日志或审计 hook，留意 Agent 实际执行了哪些命令、访问了哪些路径，而不只看它说了什么。
- 凭证目录加 deny、开启沙箱，让即使被骗也够不到关键文件。
小结
这份复盘提醒我们：Agent 安全的薄弱点不在模型，而在配置、弹窗和插件这些「周边」。把配置当代码、把陌生项目放进隔离环境、看它实际做了什么，这比写更严格的提示词有用得多。
