0DIN 披露通过 DNS TXT 记录对 Claude Code 实施间接提示注入获取 shell

0DIN 展示了一种针对 Claude Code 的间接提示注入攻击：攻击者只需控制一个公开 GitHub 仓库，无需提交任何恶意代码，就能在打开该仓库的开发者机器上获得交互式 shell。仓库中的 setup 说明和脚本看起来完全正常，脚本通过 dig 从攻击者控制的 DNS TXT 记录拉取配置并直接执行，记录内容经 base64 编码后解码为反向 shell。Claude Code 读取项目文件、安装依赖、遇到 RuntimeError 后按错误提示运行 init 命令，全程自主完成，终端只显示初始化成功。攻击者可借此获取环境中的 ANTHROPIC_API_KEY、AWS_SECRET_ACCESS_KEY、GITHUB_TOKEN 等凭据，并通过改 SSH key、加 cron 任务或装后门实现持久化，还能随时修改 DNS 记录更换载荷。