待验证50% 置信注意事项精确时间

eval接受一个字符串参数并将其作为Shell命令动态执行，能控制其输入者可获得在目标系统执行任意命令的能力

1

来源数

50%

置信度

长期有效

时效性

2026/7/9

首次发现

来源

解码优衣库T恤上的混淆Bash脚本：技术彩蛋与安全启示

hackernewshackernews2026/7/8

相关事实

待验证自定义命令的prompt中可以使用{{args}}双花括号语法来引用用户在命令名之后输入的所有参数72% 相似待验证提示词注入攻击（Prompt Injection）可通过精心构造的用户输入诱导模型忽略系统提示词的约束65% 相似待验证claude -p命令为无头模式，直接以命令方式执行单次任务并将结果输出到控制台64% 相似待验证自定义指令本质上是一种系统提示词（System Prompt）的持久化机制，将用户规则注入系统提示词层63% 相似待验证AIChat的Shell助手功能允许用户通过自然语言描述来生成和执行Shell命令63% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/353230

API

curl https://kongchang.com/api/v1/knowledge/claims/353230

MCP

get_claim(id=353230)