Claude Codes Auto Mode ist knackbar: Sicherheitsforscher bricht den Schutz von Coding-Agenten

Berlin, 29. August 2026 – Anthropic setzt große Hoffnungen in den Auto Mode von Claude Code: Das Sicherheitsfeature soll Coding-Agenten gegen Prompt-Injection-Angriffe abschirmen, wurde kürzlich zum Standard erklärt – mit kühnen Wirksamkeitsversprechen. Nun zeigt einer der renommiertesten Prompt-Injection-Forscher, dass der Schutz in weiten Teilen versagt. Und schlimmer noch: Der Sicherheitsmechanismus kann selbst zum Teil des Versagens werden.^[Simon Willison – Breaking Claude Code Opus 5 Auto Mode – url: https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/]

Der Angriff, der in 80 Prozent der Fälle funktioniert

Johann Rehberger, der als einer der glaubwürdigsten Prompt-Injection-Forscher gilt, hat eine Attacke gegen den Auto Mode entwickelt, die seinen Angaben zufolge in 80 Prozent der Versuche gelingt. Der Trick: Claude Code wird dazu gebracht, ein ZIP-Archiv herunterzuladen und zu entpacken und anschließend Code auszuführen, der base64 importiert – ohne zu bemerken, dass dabei eine lokale struct.py aus dem Archiv mit importiert und ausgeführt wird.^[Simon Willison – Breaking Claude Code Opus 5 Auto Mode – url: https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/]

Wenn der Schutz den Retter blockiert

Besonders perfide ist ein Detail, das Rehberger in seinen Testläufen dokumentierte: In einigen Fällen verhinderte der Auto Mode, dass der Agent schädlichen Code stoppen konnte. Claude erkannte die Kompromittierung und versuchte, den Malware-Prozess zu beenden – doch der Auto Mode verweigerte den Cleanup-Befehl. „Der Klassifikator erlaubte die Erstellung des Malware-Prozesses, blockierte dann aber den Befehl, der ihn stoppen sollte“, fasst der Forscher zusammen. Der Sicherheitsmechanismus wird damit Teil der Fehlerkette.^[Simon Willison – Breaking Claude Code Opus 5 Auto Mode – url: https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/]

Nur die Sandbox hilft

Simon Willison, einer der bekanntesten Stimmen der KI-Entwickler-Community, zieht daraus einen klaren Schluss: Wer Agenten unbeaufsichtigt laufen lässt und mit gegnerischen Angriffen rechnen muss, sollte sie nur in einer Sandbox betreiben. Konkret empfiehlt er, Coding-Agenten in Container, VMs oder OS-Sandboxes zu verlagern, den Netzwerkverkehr nach außen zu beschränken, die Agenten zu überwachen und keine Home-Verzeichnisse, SSH-Keys oder Cloud-Zugangsdaten an die Agenten-Laufzeitumgebung weiterzugeben.^[Simon Willison – Breaking Claude Code Opus 5 Auto Mode – url: https://simonwillison.net/2026/Aug/27/breaking-claude-code-opus-5-auto-mode/]

Warum das mehr als ein Einzelfall ist

Der Befund kommt zu einem heiklen Zeitpunkt: Coding-Agenten werden in immer mehr Unternehmen zum Standard-Arbeitsmittel – ausgerechnet während die Branche vor einer Welle KI-gestützter Angriffe warnt. OpenAI hat gemeinsam mit mehr als 100 Unternehmen, darunter Microsoft, Google, Anthropic und Deutsche Telekom, einen offenen Brief zur Cyberabwehr veröffentlicht: „KI-gestützte Cyberangriffe werden wesentlich verbreiteter und ausgefeilter“, heißt es dort – Krankenhäuser und Wasserwerke gehörten zu den gefährdetsten Zielen.^[The Decoder – OpenAI rallies 100+ companies to sign open letter warning AI-powered cyberattacks on critical infrastructure are imminent – url: https://the-decoder.com/openai-rallies-100-companies-to-sign-open-letter-warning-ai-powered-cyberattacks-on-critical-infrastructure-are-imminent/]

Solange die Verteidiger noch die Oberhand haben, müsse gehandelt werden – doch genau diese Verteidigung beginnt damit, dass die Sicherheitsmechanismen der eigenen Agenten halten, was ihre Hersteller versprechen. Der Auto Mode von Claude Code zeigt: Wer die Kontrolle über den Werkzeugkasten an eine KI abgibt, sollte den Notausgang selbst in der Hand behalten.