Eine Website zusammenzufassen klingt nach einer überschaubaren Aufgabe. In einer Demonstration des Sicherheitsforschers Johann Rehberger führte genau dieser Auftrag Claude Code mit Opus 5 im Auto Mode jedoch über mehrere Zwischenschritte zu kontrollierter Codeausführung. Der Fall ist kein Beleg dafür, dass jede Webseiten-Zusammenfassung gefährlich wird. Er zeigt aber recht deutlich, wo die Sicherheitsfrage bei Coding-Agenten tatsächlich liegt: nicht nur beim Modell, sondern bei den Rechten seiner Umgebung.
Rehberger veröffentlichte den Proof of Concept am 27. August 2026. The Register beschrieb den Ablauf zwei Tage später. Sichtbar wurde in der Demonstration ein kontrollierter Callback beziehungsweise ein Calculator-Effekt. Einen realen Diebstahl von Zugangsdaten, Datenabfluss oder Schaden bei Nutzern belegen die Quellen nicht.
Eine plausible Werkzeugkette statt eines einzelnen Befehls
Der Aufbau begann mit fremdem Webinhalt. In dem beschriebenen Versuch sollte Claude Code eine Website abrufen und zusammenfassen. Nachdem WebFetch im Ablauf scheiterte, wählte der Agent einen Bash- und curl-Fallback. Ein Redirect führte zu einem ZIP-Archiv. Darin lagen unter anderem kodierte Daten, ein Decoder und eine lokale Datei namens struct.py.
Claude führte den mitgelieferten nativen Decoder nach Rehbergers Darstellung nicht aus. Stattdessen schrieb der Agent einen eigenen Python-Decoder im entpackten Arbeitsverzeichnis. Genau das macht den Fall lehrreich: Eigener Code ist nicht automatisch vertrauenswürdig, wenn er in einem von fremdem Inhalt geprägten Verzeichnis läuft. Beim Import konnte die lokale struct.py einen Standardbibliotheksimport beschatten. Die Datei startete anschließend eine weitere Python-Stufe, die eine kontrollierte Remote-Folge auslöste.
Diese Schritte sind Merkmale dieses Proof of Concept, keine feste Signatur jeder Prompt Injection. Sie erklären dennoch, weshalb eine Warnung vor einer einzelnen riskanten Aktion zu kurz greift. Der schädliche Pfad entstand aus einer Reihe von Entscheidungen, die für sich genommen plausibel wirken konnten.
Auto Mode ist eine Schutzschicht, keine Isolation
Anthropic beschreibt den Auto Mode als System mit Eingabe- und Aktionsklassifikatoren. Tool-Ausgaben aus Web, Dateien oder Shell sollen vor dem Kontext auf Prompt Injection geprüft werden; eine weitere Schicht bewertet vorgeschlagene Aktionen. Das ist relevant, weil ein Coding-Agent ohne jeden Filter mehr Freigaben und damit mehr Angriffsfläche hätte.
Die Herstellerdaten sind aber kein Gegenbeweis zu Rehbergers Demonstration. Anthropic nennt für unterschiedliche Testpopulationen unter anderem eine False-Positive-Rate von 0,4 Prozent auf 10.000 realen Tool-Aufrufen sowie eine False-Negative-Rate von 17 Prozent auf 52 kuratierten über-eifrigen Aktionen. Diese Werte messen etwas anderes als die kleine, gezielte PoC-Stichprobe von Rehberger und dürfen nicht zu einer gemeinsamen Sicherheitsquote verrechnet werden.
Rehberger berichtet für seine drei Varianten mit wenigen Wiederholungen eine Erfolgsrate von 60 bis 80 Prozent. Das ist eine Angabe aus einem kontrollierten Versuchsaufbau, keine Aussage über die reale Angriffswahrscheinlichkeit in allen Claude-Code-Installationen. Version, Betriebssystem, Rechte und die erreichbaren Netzwerkziele verändern die Lage erheblich.
Die Betriebsgrenze entscheidet über den möglichen Schaden
Für Teams ist deshalb die folgende Kette wichtiger als die Bezeichnung Auto Mode: fremder Inhalt beeinflusst die Toolwahl, ein Archiv landet im Arbeitsverzeichnis, selbst geschriebener Code läuft dort, ein lokaler Modulpfad verändert den Import und danach kann ein Prozess nach außen verbinden. Jede Stufe braucht eine eigene technische Grenze.
- Webinhalt und Tool-Fallback
- Fremde Seiten, Dokumentationen oder Tool-Ergebnisse bleiben untrusted input. Tool-Allowlists und klar begrenzte Fallbacks verhindern nicht jede Fehlentscheidung, machen sie aber überprüfbarer.
- Arbeitsverzeichnis und Interpreter
- Archive sollten in einer isolierten Umgebung verarbeitet werden. Sensible Mounts, private Projektdateien und langlebige Tokens gehören nicht in diesen Bereich.
- Prozess und Netzwerk
- Kindprozesse, erlaubte Befehle und Netzwerkziele brauchen eigene Regeln. Ein Egress-Allowlist begrenzt, wohin ein fehlgeleiteter Prozess überhaupt verbinden kann.
Anthropic beschreibt solche Grenzen aus Herstellersicht als Defense in Depth: Sandboxen oder virtuelle Maschinen, Dateisystemgrenzen, getrennte Credentials und kontrollierter Egress reduzieren den möglichen Schaden, selbst wenn ein Modellschutz versagt. Das BSI argumentiert in einem anderen Agenten- und Sandbox-Fall ähnlich über Rechte, Rollen und Identity- und Access-Management. Beide Quellen sind kein Audit von Claude Code. Als Betriebsprinzip sind sie trotzdem übertragbar.
Für den Regelbetrieb reicht ein Warnhinweis nicht
Der Rehberger-PoC zeigt kontrollierte Ausführung, nicht einen bereits eingetretenen Kundenschaden. Eine unabhängige Reproduktion über mehrere Versionen, Betriebssysteme und Berechtigungsprofile würde die Bewertung deutlich belastbarer machen. Sie müsste insbesondere dokumentieren, welche Dateien und Umgebungsvariablen sichtbar sind, ob Prozesse und Kindprozesse starten dürfen und ob Netzwerk-Egress wirklich begrenzt wird.
Für deutsche und europäische Teams ist das keine exotische Spezialfrage. Coding-Agenten arbeiten oft neben Repositories, internen Dokumentationen, Tickets und Zugangsdaten. ENISA verweist allgemein darauf, dass KI-Cybersecurity auch Überwachung, Kontrolle und Konformitätsbewertung umfasst; eine Bewertung oder Zertifizierung von Claude Code folgt daraus ausdrücklich nicht.
Die praktische Konsequenz ist nüchtern: Ein Aktionsklassifikator kann riskante Schritte erkennen und bremsen. Die harte Sicherheitsgrenze entsteht erst dort, wo fremder Inhalt keine privaten Dateien lesen, keine langlebigen Credentials erreichen, keine unkontrollierten Prozesse starten und keine beliebigen Netzwerkziele ansprechen kann.
Quellen und weiterführende Informationen
- Johann Rehberger: „Breaking Claude Code Opus 5 Auto Mode“, 27. August 2026 – Primärquelle zum kontrollierten Proof of Concept und zum Ablauf.
- The Register: Bericht über die Webseiten-Zusammenfassung und die Ausführungskette, 28. August 2026 – zeitnahe unabhängige Berichterstattung; keine offengelegte unabhängige Reproduktion.
- Anthropic: Claude Code Auto Mode – Herstellerbeschreibung von Eingabe- und Aktionsklassifikatoren sowie Messmethodik.
- Anthropic: Containment über Produkte hinweg – Herstellerkontext zu Sandbox, Credentials und Egress.
- BSI: Wenn eine KI aus ihrer Sandbox ausbricht – deutscher Kontext zu Rollen und Rechteverwaltung in einem anderen Fall.
- ENISA: Standardisierung der KI-Cybersecurity – allgemeiner EU-Kontext zu Überwachung und Kontrolle, nicht produktspezifisch.
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-30.
