事件经过
SubprocessCLITransport._build_command中存在CVSS 9.2（v4.0）参数注入漏洞：resume选项作为单独的argv令牌传递给Claude CLI，未经过验证，因此以破折号开头的值会被解析为新的CLI标志。攻击者可以注入--mcp-config标志来注册stdio MCP服务器，并在CLI启动时实现任意命令执行，绕过SDK的权限门控。已在0.2.121中修复；NVD REST已验证（发布于2026-10-16）。
影响分析
这会将常见的智能体自动化模式——使用外部提供的会话ID恢复Claude Code会话——转化为在运行智能体的机器上执行任意代码。这是Anthropic自家SDK中的一种新型CLI标志注入攻击类别：智能体的防护措施永远不会看到或批准注入的MCP服务器，因此从Web请求、消息或提示注入文档中获取的受污染会话引用可以静默运行攻击者代码，并拥有用户的完整Claude Code权限。
攻击途径
子进程传输将Claude CLI argv构建为两个单独的令牌（["--resume", value]）。由于CLI将破折号开头的值视为新标志，控制resume值的攻击者可以注入--mcp-config来定义stdio MCP服务器，从而在CLI启动时在SDK权限控制之外运行任意命令。当应用程序使用受攻击者影响的输入恢复会话时触发。
受影响系统
anthropics/claude-agent-sdk-python < 0.2.121
缓解措施
升级到claude-agent-sdk-python 0.2.121（提交347a1cb；GHSA-h4mw-j7qp-8mwm）。修复方案将--resume=<value>作为单个令牌发出，因此以破折号开头的值会被拒绝为无效会话ID；--session-id也以相同方式加固。在升级之前，将所有调用方提供的会话/恢复标识符视为不受信任。