五个月内两次Claude Code沙箱绕过，均被静默修复。AI代理的责任共担模型应如何构建？

摘要

研究员Aonan Guan本月通过HackerOne披露了第二个Claude Code网络沙箱绕过漏洞。机制：SOCKS5主机名空字节注入。JavaScript策略层读取完整主机名，而libc在空字节处截断，因此策略批准的网络流量会解析到不同的主机。受影响版本为2.0.24至2.1.89，涵盖约130个版本，历时5.5个月。两次修复均未公开，也未发布安全通告。云基础设施花费十年构建了责任共担模型：供应商保护平台，客户掌控平台上运行的内容。运行时可见性、出口控制、操作层身份、数据允许列表——这一分工已明确。AI代理尚未建立此类模型。Anthropic保护沙箱，但关于代理实际执行了什么、调用了哪些工具、哪些数据被移动的运行时可见性，则属于客户的责任。五个月内两次静默修复，这应促使你反思你实际拥有什么。