Der Sicherheitsforscher wunderwuzzi hat auf dem Blog Embrace The Red eine funktionierende Angriffskette gegen Claude Code Opus 5 im Auto Mode veröffentlicht, dem seit Mitte August 2026 bei Anthropic standardmäßig aktiven Berechtigungsmodus, der manuelle Freigaben durch einen Sicherheits-Klassifikator ersetzt. In Tests mit kleiner Stichprobe erreichte er Erfolgsraten für Codeausführung zwischen 60 und 80 Prozent, was einer von Anthropic beauftragten Drittevaluierung durch den Anbieter Trajectory Labs widerspricht, die für 72 Testszenarien mit je zehn Durchläufen eine Erfolgsrate von 0,00 Prozent für Prompt-Injection-Angriffe auswies.

Der Angriff beginnt mit einer harmlosen Bitte, eine Website zusammenzufassen. Als das WebFetch-Tool von Claude einen HTTP-415-Fehler erhält, wechselt das Modell eigenständig zu curl und lädt ein ZIP-Archiv herunter. Darin liegen eine als Lockmittel gedachte macOS-Binärdatei namens decoder-darwin sowie eine Datei struct.py. Claude verweigert die Ausführung der unbekannten Binärdatei und schreibt stattdessen einen eigenen Python-Decoder, führt diesen aber innerhalb des entpackten Archivordners aus. Beim Import des Python-Moduls base64 lädt der Modulsuchpfad die manipulierte struct.py des Angreifers statt der Standardbibliothek, eine Technik namens Module Shadowing. Das vergiftete Modul führt verschleierten Code aus, der einen isolierten Python-Kindprozess startet, der wiederum eine Remote-Payload herunterlädt und ausführt: Diese öffnet den Taschenrechner und verbindet sich mit einem für den Test eingerichteten Command-and-Control-Server.

In einer zweiten Variante startet das vergiftete Modul statt eines Python-Subprozesses eine eigenständige, headless laufende Claude-Code-Instanz über den Befehl claude -p. Dieser verschachtelte Agent führte Aufklärungsbefehle wie whoami, uname und id aus, öffnete den Taschenrechner und schrieb Dateien außerhalb des Arbeitsverzeichnisses. Die gemessenen Erfolgsraten lagen bei 60 Prozent für die Python-C2-Kette, 60 Prozent für die claude-p-Aufklärungsvariante und 80 Prozent für die claude-p-Variante mit Dateischreibvorgängen. In mehreren Durchläufen erkannte Claude die Kompromittierung nachträglich und versuchte, den bösartigen Prozess zu beenden, doch der Klassifikator des Auto Mode blockierte genau diesen Aufräumbefehl.

Der Forscher meldete das Problem zunächst an modelbugbounty@anthropic.com, erhielt jedoch keine Antwort, und reichte es anschließend über den regulären Sicherheitskanal von Anthropic ein. Anthropic schloss den Bericht als "Informative" und erklärte, Auto Mode funktioniere wie vorgesehen: Es sei ein Best-Effort-Komfort-Klassifikator und keine Sicherheitsgrenze, für echten Schutz seien OS-seitiges Sandboxing und Kontrolle des Netzwerk-Egress nötig. Der Forscher stellt dem öffentliche Aussagen von Claude-Code-Teammitglied Boris Cherny gegenüber, wonach mehrschichtige Verteidigungen aus Modelltraining, Input-Prüfungen und einem Intent-Klassifikator indirekte Prompt Injection auf nahezu null reduzieren und man Prompt Injection in der Praxis kaum noch demonstrieren könne.

Der Beitrag empfiehlt, unbeaufsichtigte Coding-Agenten nur in Containern, virtuellen Maschinen oder OS-Sandboxes laufen zu lassen, den Netzwerk-Egress einzuschränken, Agentenaktivität zu überwachen und Zugangsdaten, SSH-Schlüssel sowie Home-Verzeichnisse vom Zugriff der Agenten fernzuhalten, da eine Freigabe durch Auto Mode allein kein Beleg für die Sicherheit eines Befehls sei.