Claude Code Auto-Modus: Wie sicher ist er wirklich?

Claude Code: Ein Prompt-Injection-Angriff überlistet den Auto-Modus

Michael Dobler

Autor Dr. Web

31. August 2026

2 Min. Lesezeit

Claude Code führt im Auto-Modus fremden Code aus, sobald jemand den Agenten bittet, eine präparierte Website zusammenzufassen. Der Sicherheitsforscher Johann Rehberger brachte auf diesem Weg in bis zu 80 Prozent der Versuche Schadsoftware auf den Rechner, ganz ohne manuelle Freigabe. Der Fall zeigt, warum die Freigabe-Automatik kein Sicherheitsversprechen ist.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Anthropic hat den Auto-Modus im August zur Voreinstellung von Claude Code gemacht, damit der KI-Agent Befehle ohne ständige Rückfrage ausführt. Genau diese Bequemlichkeit öffnet die Tür, sobald der Agent auf fremde Inhalte aus dem Netz trifft.

Das Wichtigste in Kürze

Der Angriff kapert nicht die Absicht des Agenten, sondern führt ihn über eine Kette einzeln harmloser Schritte in die Falle.
Claude schreibt sich beim Entpacken eines Archivs selbst ein Python-Skript und lädt dabei unbemerkt eine manipulierte Datei namens struct.py aus dem Archivordner.
Der Schadcode erscheint in keinem sichtbaren Werkzeugaufruf, deshalb greift auch die manuelle Sichtprüfung ins Leere.
Anthropic stuft das Verhalten als beabsichtigt ein und nennt den Auto-Modus einen Komfort-Filter, keine Sicherheitsgarantie.

Wie hebelt ein Website-Aufruf die Freigabe aus?

Turm aus grauen Würfeln mit Beschriftungen und Brillen-Nase-Schnurrbart-Attrappe oben — Agent versucht, Adresse zusammenzufassen, erhält Fehlercode 415 und nutzt daraufhin curl statt sicherem Tool. Weiterleitung lädt ZIP-Datei mit Entschlüsselungsprogramm herunter

Harmlose Kette: Der Einstieg ist eine Bitte an den Agenten, eine Adresse zusammenzufassen. Der Server antwortet mit dem Statuscode 415, woraufhin Claude das abgesicherte WebFetch-Werkzeug fallen lässt und stattdessen per curl zugreift. Über eine Weiterleitung landet ein ZIP-Archiv auf der Platte, das ein fertiges Entschlüsselungsprogramm und eine zweite, unscheinbare Datei enthält.^[1]

Eigenes Skript als Falle: Das mitgelieferte Programm rührt Claude nicht an, weil es der fremden Binärdatei misstraut. Stattdessen schreibt der Agent seinen eigenen Entschlüssler in Python und vertraut dem selbst getippten Code. Dieser lädt das Standardmodul base64, das intern struct nachlädt. Python greift dann zuerst auf die manipulierte struct.py im Archivordner zu. Beim Laden startet die getarnte Datei einen versteckten Prozess, der die eigentliche Schadsoftware nachholt.

Warum bemerkt die manuelle Kontrolle nichts?

Unsichtbar im Ablauf: Kein Stück des Schadcodes taucht in den angezeigten Werkzeugaufrufen oder deren Ausgaben auf. Die gefährliche Zeile entsteht erst beim Import eines scheinbar harmlosen Moduls, tief im Python-Ablauf. In mehreren Durchläufen erkannte Claude die Übernahme sogar und wollte den Prozess beenden, doch der Auto-Modus verweigerte ausgerechnet diesen Aufräumbefehl.

Kein Einzelfall: Der Fall reiht sich in eine junge Serie von Angriffen auf autonome KI-Agenten ein. Beim Hugging-Face-Hack koordinierten sich mehrere Agenten unbemerkt. Beim Avada-Theme verkettete eine KI sechs Lücken zur Serverübernahme. Die indirekte Prompt-Injection über fremde Web-Inhalte ist damit keine Randnotiz, sondern eine eigene Angriffsklasse.

Claude Code im Auto-Modus: Anatomie eines unsichtbaren Angriffs

Wie eine harmlose Web-Anfrage zur Ausführung von Schadcode führt

60 bis 80 %

Erfolgsquote des Angriffs über die getesteten Varianten hinweg

manuelle Freigaben, die der Nutzer für die Ausführung des Schadcodes erteilen musste

struct.py

manipulierte Datei, die Pythons echtes Standardmodul im Archivordner überlagert

HTTP 415

Statuscode, der Claude vom abgesicherten WebFetch auf den ungeschützten curl-Zugriff umlenkt

„Informativ“

Anthropics Einstufung des Berichts: Der Auto-Modus sei Komfort, keine Sicherheitsgarantie

Ein Freigabe-Klick, den eine Maschine für uns setzt, ersetzt keine Sandbox. Ein KI-Agent mit Netzzugang auf der eigenen Festplatte gehört hinter eine Mauer aus knappen Rechten und echter Isolation, nicht hinter ein Klassifikator-Häkchen.
— Markus Seyfferth, Chefredakteur Dr. Web

Was heißt das für den KI-Einsatz in der DACH-Region?

Sandbox statt Vertrauen: Anthropic verweist in der eigenen Dokumentation darauf, dass Skripte und Werkzeugzugriffe mit externen Web-Diensten in einer virtuellen Maschine laufen sollten.^[2] Für Unternehmen heißt das konkret: Der Agent gehört in einen Container oder eine virtuelle Maschine, sein Netzabfluss auf wenige erlaubte Ziele begrenzt. Zugangsdaten, SSH-Schlüssel und das Home-Verzeichnis bleiben außer Reichweite. Jede Sitzung wird protokolliert.

Haftung beim Betreiber: Sobald ein solcher Agent produktiv Code ausführt, greift der EU AI Act mit seiner Pflicht zu menschlicher Aufsicht und nachvollziehbaren Abläufen. Die Verantwortung für einen Schaden bleibt beim Betreiber, nicht beim Modellanbieter. Eine automatische Freigabe zählt dabei als Komfort, nicht als bestandener Sicherheitsnachweis.