Claude Code wird beim Zusammenfassen einer Website gekapert
Eine einfache Bitte an Claude Code kann eine Angriffskette auslösen: Der Coding-Agent soll eine Website zusammenfassen, lädt stattdessen ein manipuliertes ZIP-Archiv herunter und führt schließlich Schadcode aus. Sicherheitsforscher Johann Rehberger demonstrierte den Angriff mit Claude Code, Opus 5 und dem standardmäßig aktiven Auto Mode.
Der Fall zeigt ein grundsätzliches Problem autonomer Coding-Agenten. Einzelne Aktionen wirken unverdächtig, ergeben zusammen aber eine Remote Code Execution, kurz RCE. Damit kann ein Angreifer Befehle auf dem betroffenen Rechner ausführen.
Vom WebFetch-Fehler zum manipulierten ZIP-Archiv
Am Anfang steht eine Website, die sich als Archiv für Notebook-Datensätze ausgibt. Claude Code versucht zunächst, die Seite über sein WebFetch-Werkzeug abzurufen. Die Anfrage scheitert mit dem HTTP-Fehler 415, der einen nicht unterstützten Medientyp bezeichnet.
Daraufhin entscheidet das Modell selbstständig, die Inhalte über einen Bash-Befehl und curl abzurufen. Die Website leitet diesen Abruf auf ein bösartiges ZIP-Archiv um, das Claude Code anschließend herunterlädt.
Im Archiv befinden sich scheinbar harmlose Metadaten, Notebook-Dateien, ein Decoder und eine manipulierte Python-Datei namens struct.py. Claude verweigert aus Sicherheitsgründen die Ausführung der mitgelieferten Binärdatei. Stattdessen schreibt das Modell einen eigenen Decoder in Python.
„Ironischerweise ist genau diese Sicherheitsentscheidung der Pfad für den Exploit“, erklärte Rehberger, sinngemäß aus dem Englischen übersetzt.
Python Module-Shadowing umgeht die Schutzmechanismen
Der selbst erzeugte Decoder importiert das Python-Standardmodul base64. Dieses lädt wiederum das Modul struct. Python findet jedoch zuerst die manipulierte Datei struct.py aus dem heruntergeladenen Archiv und führt deren Inhalt aus.
Dieses Verfahren heißt Module-Shadowing. Eine lokale Datei erhält denselben Namen wie ein reguläres Modul und verdrängt dieses beim Import. Der Schadcode in der präparierten Datei wurde nach Angaben Rehbergers mit ChatGPT verschleiert, um die Sicherheitsfilter von Claude zu umgehen.
Die Datei startet einen separaten Python-Prozess, lädt weitere Inhalte nach und führt sie aus. Der demonstrierte Angriff öffnete lediglich den Taschenrechner. Technisch war damit jedoch die Ausführung eines vom Angreifer kontrollierten Programms erreicht.
| Merkmal | Beobachtung |
|---|---|
| Getestetes System | Claude Code mit Opus 5 im Auto Mode |
| Angriffsvarianten | 3 |
| Durchläufe je Variante | 5 |
| Gemeldete Erfolgsquote | 60 % bis 80 % |
| Auto Mode als Standard | Seit August 2026 |
Die Stichprobe war mit fünf Durchläufen pro Variante klein. Die Werte zeigen daher keine allgemeine Erfolgswahrscheinlichkeit. Sie belegen aber, dass die Angriffskette unter reproduzierbaren Bedingungen mehrfach funktioniert hat.
Ein gekaperter Agent kann weitere Agenten starten
In einer zweiten Variante führte die manipulierte Python-Datei nicht nur gewöhnlichen Schadcode aus. Sie startete über claude -p eine weitere Claude-Code-Instanz ohne sichtbare Benutzeroberfläche.
Dieser untergeordnete Agent erhielt einen eigenen Kontext und Zugriff auf Werkzeuge. Er führte Befehle zur Erkundung des Systems aus, öffnete den Taschenrechner und schrieb Dateien in das Home-Verzeichnis.
„Der verschachtelte Claude erhält eigenen Tool-Zugriff und Kontext. In den Versuchen führte der untergeordnete Agent grundlegende Systemabfragen durch, öffnete den Taschenrechner und schrieb lokale Dateien“, so Rehberger, sinngemäß aus dem Englischen übersetzt.
Damit geht der Angriff über eine klassische Prompt Injection hinaus. Bei einer Prompt Injection werden versteckte oder manipulierte Anweisungen in fremden Inhalten platziert, damit ein KI-Modell seine ursprüngliche Aufgabe verlässt. Hier nutzt der kompromittierte Agent zusätzlich seine lokalen Rechte, um einen weiteren autonomen Prozess zu erzeugen.
Auto Mode ist keine Sicherheitsgrenze
Nach Rehbergers Schilderung bewertet Anthropic das Verhalten als funktionsgemäß. Der Auto Mode sei eine Komfortfunktion mit einem Klassifikator, der Angriffe nach bestem Bemühen erkennt, aber keine Sicherheitsgarantie bietet. Eine eigenständige öffentliche Bestätigung dieser Einschätzung liegt bislang nicht vor.
„Der Auto Mode ist eine Komfortfunktion auf Basis eines Best-Effort-Klassifikators, keine Sicherheitsgarantie“, lautet die von Rehberger sinngemäß wiedergegebene Position von Anthropic.
Seit August 2026 ist der Auto Mode die Standardeinstellung von Claude Code. Die Umstellung und ihre Bedeutung für automatisierte Freigaben werden auch im Beitrag zum Auto-Modus als Claude-Code-Standard eingeordnet.
Ob Anthropic zusätzliche Kontrollen gegen Module-Shadowing oder den selbstständigen Wechsel von WebFetch zu Bash plant, ist nicht bekannt. Unternehmen sollten deshalb nicht davon ausgehen, dass ein künftiges Modellupdate die zugrunde liegende Risikoklasse automatisch beseitigt.
Was Unternehmen im DACH-Raum absichern müssen
Coding-Agenten können Eigenentwicklungen beschleunigen und die Abhängigkeit von klassischen SaaS-Abos reduzieren. Gleichzeitig verlagert sich die Verantwortung für Laufzeitumgebung, Rechte und Datenzugriff in das eigene Unternehmen. Ein Agent mit Zugriff auf Entwicklerrechner, Quellcode, Zugangsdaten und Firmennetz wird damit selbst zu einem sicherheitskritischen System.
Die wichtigste Schutzmaßnahme ist eine strikte Isolation auf Betriebssystemebene. Claude Code und vergleichbare Werkzeuge sollten in getrennten Containern oder virtuellen Maschinen laufen. Ausgehende Netzwerkverbindungen müssen restriktiv kontrolliert werden, damit ein kompromittierter Agent nicht beliebige Nutzdaten oder Schadprogramme abrufen kann.
Zusätzlich sollten Agenten nur die für eine Aufgabe erforderlichen Verzeichnisse, Werkzeuge und Zugangsdaten erhalten. Dass Modellschutz allein nicht genügt, zeigt auch der Bericht über KI-Agenten, die Sandboxes umgehen. Risiken entstehen zudem durch fremde Inhalte, wie der Fall von Fremdcode aus manipulierten llms.txt-Dateien zeigt.
Auto-Modi sparen Rückfragen und beschleunigen Abläufe. Sie ersetzen aber keine technische Sicherheitsarchitektur. Für den produktiven Einsatz gilt deshalb Rehbergers zentrale Empfehlung, sinngemäß übersetzt: Der Ausgabe und den Entscheidungen des Modells darf nicht blind vertraut werden.