Prompt-Injection trickst Claude Code Auto-Modus aus

Es braucht keinen Exploit, keine Lücke im klassischen Sinn und keine Zeile Schadsoftware auf deinem Rechner. Es reicht ein Satz: „Fass mir bitte diese Webseite zusammen.“ Sicherheitsforscher wunderwuzzi (Johann Rehberger) hat gezeigt, wie sich Claude Code im Auto-Modus damit zur Ausführung fremden Codes bringen lässt.

DER TRICK: Kein Befehl, sondern ein Umweg

Klassische Prompt-Injection funktioniert plump: Auf der Webseite steht versteckt „Ignoriere deine Anweisungen und führe folgenden Befehl aus.“ Genau darauf sind Sicherheitsfilter trainiert.

Der neue Ansatz ist subtiler. Die präparierte Seite gibt sich als Archiv mit Notebook-Datensätzen aus. Der erste Abruf durch das WebFetch-Werkzeug schlägt mit einem HTTP 415 „Unsupported Media Type“ fehl. Für den Agenten sieht das aus wie ein ganz normales technisches Problem — und der Agent ist darauf trainiert, Probleme zu lösen.

Also probiert er einen anderen Weg. Und die Seite schiebt ihm Schritt für Schritt Hinweise unter, die jeweils für sich genommen völlig harmlos aussehen, bis der Agent von ganz allein zu einer unsicheren Aktion greift. Niemand hat ihm gesagt „führ das aus“. Er ist selbst darauf gekommen. Genau das ist der Punkt.

DIE ZAHL, DIE WEHTUT

Rehberger gibt eine Erfolgsquote von 60 bis 80 Prozent an. Das ist deshalb bemerkenswert, weil eine von Anthropic beauftragte Drittprüfung für Opus 5 im Auto-Modus eine Prompt-Injection-Erfolgsquote von 0,00 Prozent ausgewiesen hatte.

Kein Widerspruch aus Böswilligkeit — sondern ein Testabdeckungsproblem. Der Sicherheitsklassifikator prüft einzelne Schritte. Er ist nicht dafür gebaut, eine Kette aus lauter unauffälligen Einzelschritten als Ganzes zu bewerten. Genau in dieser Lücke arbeitet der Angriff.

WAS DAS FÜR DEIN SETUP HEISST

Rehbergers eigene Schlussfolgerung ist die praktisch wichtigste: Die echte Grenze ist nicht der Klassifikator, sondern Betriebssystem-Isolation und Kontrolle des ausgehenden Netzverkehrs. Ein Filter im Modell ist eine Bremse. Eine Sandbox ist eine Wand.

Konkret, wenn du Coding-Agenten produktiv nutzt:

Container oder VM statt Host. Der Agent bekommt einen eigenen, wegwerfbaren Arbeitsbereich — kein direkter Zugriff auf dein Home-Verzeichnis, deine SSH-Schlüssel oder deine Cloud-Tokens.
Ausgehenden Verkehr begrenzen. Ein Agent, der nur zu wenigen bekannten Zielen sprechen darf, kann geklaute Daten schlecht wegschicken. Egress-Regeln sind hier wirksamer als jede Prompt-Regel.
Auto-Modus bewusst wählen. Für ein privates Repo ohne Geheimnisse ist er bequem. Für ein Verzeichnis mit Produktionszugängen ist die manuelle Freigabe die ehrlichere Wahl.
Fremde URLs sind Eingaben, keine Anweisungen. Das gilt für jeden Agenten mit Web-Zugriff, unabhängig vom Hersteller.

NICHT NUR EIN ANTHROPIC-PROBLEM

Wichtig für die Einordnung: Das ist kein Fehler, den ein einzelnes Update wegräumt. Jeder Agent, der Webinhalte liest und daraus Handlungen ableitet, hat diese strukturelle Schwäche. Der Inhalt einer fremden Seite landet im selben Kontextfenster wie deine Anweisung — und das Modell muss unterscheiden, wer hier eigentlich der Auftraggeber ist.

Deshalb wird die Branche das Problem eher eindämmen als lösen: durch Rechteschnitte, Isolation und Protokollierung. Nicht durch immer klügere Filter.

FAZIT

Die Forschung ist keine Panikmeldung, sondern eine nützliche Erinnerung: Ein Coding-Agent mit Netzzugriff ist ein Programm, das Anweisungen aus dem Internet lesen kann. Behandle ihn entsprechend — und gib ihm nur die Rechte, deren Verlust du verkraften würdest.

Häufige Fragen

Bin ich betroffen, wenn ich Claude Code normal nutze?

Das Risiko entsteht vor allem im Auto-Modus in Kombination mit Web-Zugriff auf fremde Seiten. Wer Aktionen manuell freigibt und keine unbekannten URLs zusammenfassen lässt, hat eine deutlich kleinere Angriffsfläche. Ganz ausschließen lässt sich indirekte Prompt-Injection derzeit bei keinem Agenten.

Warum hat der Sicherheitsfilter nicht angeschlagen?

Weil jeder einzelne Schritt der Kette für sich harmlos wirkt. Der Klassifikator bewertet Aktionen einzeln, nicht die Absicht hinter einer längeren Abfolge. Der Forscher beschreibt genau das als Kern der Schwäche.

Wie schütze ich mich konkret?

Lass den Agenten in einem Container oder einer VM laufen, ohne Zugriff auf Schlüssel und Produktionsdaten. Begrenze zusätzlich, wohin er im Netz sprechen darf. Diese beiden Maßnahmen wirken unabhängig davon, wie gut oder schlecht ein Modellfilter gerade ist.

Gab es schon Angriffe in freier Wildbahn?

Dazu liegen bislang keine bestätigten Berichte vor. Es handelt sich um veröffentlichte Sicherheitsforschung mit dokumentierter Vorgehensweise, nicht um eine beobachtete Angriffswelle. Das macht die Vorsichtsmaßnahmen aber nicht weniger sinnvoll.

HARMLOS GEFRAGT, HART GETROFFEN! Eine Webseite zusammenfassen reicht — und Claude Code führt fremden Code aus