Johann Rehberger ha mostrato che Claude Code Opus 5 in Auto Mode può essere spinto, con una semplice richiesta di riassumere una pagina web, a usare Bash e curl invece del suo strumento di fetch. Nel demo descritto da The Register, il comportamento si ripete fino all'80% dei tentativi e parte dal default di Auto Mode, attivo da metà agosto.
Il punto non è un testo che inganna il modello. È il passaggio dal contenuto letto ai tool di sistema. Quando il modello decide di aggirare un fetch fallito e scendere su shell e Python, la pagina diventa un varco verso download e code execution; in uno scenario separato può perfino avviare un nuovo Claude Code annidato, con il proprio contesto e i propri tool.
Per chi usa assistenti di coding agentici con accesso al web, la lezione è che il confine utile non è la sola protezione del prompt. Conta se l'agente può raggiungere shell, Python e rete in uscita: lì si decide quanto lontano può arrivare un'iniezione da una pagina apparentemente innocua.