Модове в Claude Code: разширения без изолация

2.10

време за четене: 4 мин.

Най-големият риск в един инструмент за програмиране рядко е самият инструмент. Обикновено е малкото разширение, което някой е инсталирал, защото спестява две минути на ден. От 1 октомври такова разширение може да пренапише промпта, да одобри извикване на инструмент вместо човека и да нарисува каквото реши в екрана.

В техническо помещение мъж с монтажен лист в ръка кимва одобрително към робот, застанал пред отворен шкаф, но другата ръка на робота вече е влязла в странично отваряемо капаче, което не е описано в листа, а жена зад тях е забелязала капачето и сочи към него разтревожено

Какво е обявено

На 1 октомври Anthropic представи модовете за Claude Code - малки функции на TypeScript, които „променят как работи Claude Code". Модът се закача за събитие, което инструментът излъчва, и може да върви преди него, след него или вместо него. Документацията изброява какво е по силите му: да пренапише промпта, преди той да стигне до модела, да блокира или да повтори извикване на инструмент, да одобри или да откаже заявка за разрешение, и да изчисти чувствителни данни от изхода. Може и да пререди част от интерфейса, включително диалога, с който инструментът задава въпрос на потребителя.

Две неща от съобщението заслужават внимание повече от самата функционалност. Модовете се разпространяват вътре в приставки, тоест се инсталират и споделят като всяка приставка. И са включени по подразбиране от версия 2.1.287 нататък. Екип, който по време на ранния достъп е изключил предшественика им със променлива на средата, трябва да знае, че новите версии я игнорират при всяка стойност - нула там оставя модовете включени.

Какво значи „без изолация" при модове в Claude Code

За модове в Claude Code производителят не го премълчава. Собствената му документация казва, че модовете „не са в изолирана среда" и вървят „с разрешенията на потребителя, който ги е инсталирал". Същата страница добавя, че никой от описаните механизми за управление не поставя мод в изолирана среда.

Има вграден пазач - мод на име sec-default, който се зарежда преди всеки мод, инсталиран от човек, и не може да бъде изключен от потребителя. Той пази онова, което организацията управлява: системния промпт, управляваните инструкции и правилата. Но обхватът му е описан точно и честно. Правилата за отказ не важат за собствените заявки на мода към файловата система и към процесите - когато четенето на даден файл е изрично забранено за модела, модът пак може да го прочете със своя собствена заявка или да стартира програма, която го прави.

Втората подробност е кой изобщо получава пазача. Той се зарежда, когато машината има управлявани настройки или когато потребителят е влязъл с екипен или корпоративен план. Човек, който ползва Claude Code с ключ за програмния интерфейс на обикновена машина, не получава пазача и остава сам със собствената си преценка.

Нашият анализ

Две независими фирми по сигурност са проверили механизма със свой код, още докато е бил в превю. Dash Security публикува работещ образец, който прихваща адрес на криптопортфейл в изхода и го подменя с чужд, и отбелязва, че защитата на крайната точка вижда само Claude Code като изпълняващ процес и затова не различава кой е източникът на подмяната. Pluto Security съобщава, че е извлякла данни за достъп и 834 KB история от промптове, и описва по-неудобната находка: при проверка техният мод, закачен за четири събития, е бил докладван с „Hooks (0)".

Тези проверки са правени преди общата достъпност и не казват какво е състоянието днес. Точно затова си струва да се отбележи, че сегашната документация сочи друга команда за преглед - claude plugin validate изрежда и събитията, за които модът се закача, и методите, които кодът му вика, като отказва да зареди мод, чиято употреба на този програмен интерфейс не може да бъде разчетена. Механизмът за преглед е наличен и описан. Дали външните инструменти вече го ползват, е отделен въпрос.

Темата не е нова за този блог. Не самото разширение, а доверието към него е активът, който се атакува - същият механизъм видяхме и в по-ранна наша новина за приставка, закачена за конкретен комит.

Какво може да се направи

Преди инсталиране пуснете claude plugin validate върху папката на мода и прочетете двата реда, които командата дава. Редът с извикванията казва дали модът чете и пише файлове, стартира програми, прави заявки по мрежата или чете променливи на средата и настройки, в които може да стоят ключове.

Организациите имат по-груб, но сигурен лост. Настройката allowManagedModsOnly спира всеки мод, донесен от потребител, и оставя да вървят само одобрените от организацията, без да чупи собствените скриптове на хората. При нужда от по-широка забрана има allowManagedHooksOnly и disableAllHooks, но втората изключва и собствените управлявани проверки.

Вашият екип си струва да провери и едно просто нещо: на колко от машините изобщо се зарежда вграденият пазач. Отговорът зависи от плана и от наличието на управлявани настройки, а не от добрата воля на хората.

Заключение

Модовете са полезна функция и Anthropic описва границите им без заобикалки. Неудобното следствие е, че прегледът на чужд мод не е препоръка, а условие - чужд код, който върви вътре в агента и с правата на потребителя, се допуска като програма, не като документ.

Помагаме на български технологични екипи да въведат AI инструменти, без да отворят нови пътища към машините и данните си - с ясни правила кой какво инсталира. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при допускане на външни приставки и агенти до работните машини на екипа. [Свържете се с нас за консултация: academy@razvivai.se]