Ein Sicherheitsforscher umgeht den Auto-Modus von Claude Code in bis zu 80 Prozent seiner Versuche
Der Sicherheitsforscher Johann Rehberger hat den Auto-Modus von Claude Code in bis zu 80 Prozent seiner Testläufe umgangen, wenige Wochen nachdem eine von Anthropic beauftragte Prüfung einen Erfolgswert von null gemessen hatte. Anthropic stuft seine Kette als vorgesehenes Verhalten ein.
Null Prozent im Test, 80 Prozent im Angriff
Seit dem 14. August startet Claude Code auf den Plänen Pro, Max und Team im Auto-Modus. Ab Version 2.1.283 gilt das in Terminal und VS Code auf jedem Plan. Der Modus ersetzt die Rückfrage an einen Menschen durch einen Sicherheitsklassifikator, der riskante Befehle stoppen soll, bevor sie laufen.
Anthropic begründete die Umstellung mit mehreren Messungen, darunter eine beauftragte Prüfung: Der Dienstleister Trajectory Labs testete 72 Szenarien für indirekte Prompt-Injection, jedes zehnmal. Keiner der 720 Angriffsversuche gelang gegen Fable 5, Opus 5 oder Sonnet 5 im Auto-Modus, die Erfolgsquote lag also bei 0,00 Prozent.
Johann Rehberger hat diesen Wert für Opus 5 mit einer eigenen Angriffskette geprüft. Ausgangspunkt ist eine gewöhnliche Bitte, eine Webseite zusammenzufassen.
Die Seite lenkt Claude Code zu einem ZIP-Archiv mit kodierten Datensätzen und einem Programm zum Dekodieren. Claude lehnt es ab, das Programm zu starten, und schreibt einen eigenen Decoder in Python. Den führt es im entpackten Ordner aus. Dort liegt eine präparierte Datei struct.py. Python lädt sie anstelle des gleichnamigen Standardmoduls, sobald der Decoder base64 importiert, denn base64 braucht struct.
In drei bis vier von fünf Läufen je Variante kam so fremder Code zur Ausführung, eine Erfolgsquote von bis zu 80 Prozent, gemessen an einer kleinen Stichprobe. Die Variante mit nachgeladenem Schadprogramm gelang in drei von fünf Läufen. Die 80 Prozent erreichte eine Variante, in der struct.py eine zweite Claude-Code-Instanz startet. Die Quoten stiegen, während Rehberger seine Schadcodes mit Hilfe von Codex überarbeitete.
Was die beiden Zahlen messen
Beide Ergebnisse können zugleich zutreffen, und Rehberger rechnet es selbst vor: Die Prüfung umfasste einen festen Satz von 72 Szenarien, jedes zehnmal durchlaufen. Als Prüfweg nennt Anthropic eine von Trajectory Labs gebaute Browser-Anbindung. Rehbergers Kette führt über curl und die Shell und war nicht darunter, also stehen die 0,00 Prozent und der gelungene Angriff nebeneinander. Ein Katalog fester Szenarien prüft, ob ein System die Angriffe abwehrt, die man ihm vorlegt. Über einen Angreifer, der das System kennt und gezielt eine neue Kette baut, sagt diese Zahl wenig. Rehberger nennt seine Stichprobe klein. Für einen motivierten Angriff hält er die Ergebnisse für repräsentativ, vollständig seien sie dabei nicht.
Der Klassifikator blockierte das Aufräumen
In einigen Läufen bemerkte Claude den Einbruch selbst und wollte den Schadprozess beenden. Den Befehl zum Aufräumen lehnte der Auto-Modus ab. Der Klassifikator hatte den Start des Prozesses zugelassen und hielt dann den Befehl auf, der ihn beenden sollte.
Anthropic stuft die Kette als vorgesehenes Verhalten ein
Rehberger meldete die Kette an Anthropic. Nach seinem Bericht schloss Anthropic die Meldung als „Informative“: Das Verhalten sei so vorgesehen. Den Auto-Modus beschreibt Anthropic danach als Bequemlichkeit mit einem Klassifikator, der nach bestem Vermögen prüft. Die eigentliche Grenze liege bei der Isolation durch das Betriebssystem und bei der Kontrolle des Netzverkehrs nach außen. Dieselbe Einordnung steht in Anthropics Dokumentation zu den Rechtemodi: Der Auto-Modus senkt die Zahl der Rückfragen, eine Garantie für Sicherheit gibt er nicht.
Rehberger leitet daraus fünf Regeln ab. Unbeaufsichtigte Coding-Agenten laufen in einem Container, einer virtuellen Maschine oder einer Sandbox des Betriebssystems. Der Netzverkehr nach außen wird beschränkt. Die Agenten werden überwacht. Home-Verzeichnis, SSH-Schlüssel und Cloud-Zugangsdaten bleiben für sie unerreichbar. Eine Freigabe durch den Auto-Modus belegt nicht, dass ein Befehl sicher ist.
Einordnung
Wer Claude Code in einer aktuellen Fassung im Terminal oder in VS Code startet, ist ohne eigenes Zutun im Auto-Modus. Ein Blick auf den eingestellten Modus gehört deshalb zur Einrichtung, besonders auf Rechnern mit SSH-Schlüsseln oder Cloud-Zugangsdaten im Home-Verzeichnis. Welche Modi es gibt und welche Regel unabhängig vom Modus gilt, erklärt Vibe-Coding / Agentic Engineering, Kapitel 08. Was eine Prüfzahl über Angriffe außerhalb ihres festen Aufgabensatzes sagt, zeigt Beurteilen und Einordnen, Kapitel 04.
Mehr dazu in der Rubrik Claude Code.
Quellen
3 Einträge, davon 1 Schlüsselarbeitalle erreichbar
Erreichbarkeit automatisch geprüft
SchlüsselarbeitDokumentationerreichbar
Anthropic, Choose a permission mode (externe Seite, code.claude.com)
code.claude.comgeprüft 10.11.2026
Die Herstellerdokumentation zu den sechs Rechtemodi und dazu, in welchem eine Sitzung startet. Sie hält mehrere Dinge fest, die anderswo fehlen. Eine Grenze, die im Gespräch gezogen wird, liegt nirgends als Regel: Der Klassifikator liest sie bei jeder Prüfung neu aus dem Verlauf, und mit dem Verdichten kann sie verschwinden. Eine Freigabe in die Gegenrichtung wirkt dagegen nur, wenn die Nachricht die Handlung und das Gefährliche daran konkret benennt; das bloße Nennen des Verbs hebt eine Sperre nicht auf. Beim Wechsel in den Auto-Modus setzt Claude Code die eigenen weiten Freigaberegeln außer Kraft, weil sie an der Prüfung vorbeiführen würden. Dazu die Liste der geschützten Pfade, die keine Freigaberegel öffnet, und die Schwellen, ab denen der Auto-Modus wieder zu fragen anfängt. Seit einer Ergänzung, gesehen am 23.09.2026, trennt die Seite zwei Prüfwege: In den Anfragen, die Claude Code selbst an den Klassifikator schickt, sieht dieser Nutzernachrichten, Werkzeugaufrufe außer reinen Lesevorgängen und die Projektanweisung, die Ergebnisse der Werkzeugaufrufe dagegen nicht. Seit einer weiteren Überarbeitung, gesehen am 27.09.2026, prüft der Server diesen Weg inzwischen auf jedem Tarif mit direkter API-Verbindung (ab Version 2.1.271), nicht nur auf Enterprise- und API-Konten, dazu bei Cloud-Anbietern und hinter einem eigenen LLM-Gateway (ab 2.1.278) und in einer angemeldeten Claude-Apps-Gateway-Sitzung (ab 2.1.280); was der Server dabei zu sehen bekommt, sagt die Seite weiter nicht. Neu benannt sind auch zwei Ausweichfälle: Prüft der Server eine Sitzung gar nicht, fällt Claude Code auf die eigene Klassifikator-Anfrage zurück; kommt für eine einzelne Handlung kein Urteil zurück, verweigert Claude Code sie. Eine Auskunft der Seite steht unter dem aufklappbaren Abschnitt „How the classifier evaluates actions“ und deshalb hier ohne hinterlegtes Zitat: die Reihenfolge, in der eine Handlung geprüft wird. Seit Version 2.1.283 startet eine Sitzung im Terminal und in der VS-Code-Erweiterung in der Voreinstellung im Auto-Modus, ein Lauf mit -p dagegen meist im manuellen Modus. Im Auto-Modus fragt Claude Code weiter bei eigenen ask-Regeln und vor dem Löschen eines kritischen Pfads, im Terminal mit einer Frist von zwei Minuten (Stand 09.10.2026). Als kritisch gilt dabei nur, was Claude Code als solchen Pfad erkennt (gesehen am 22.10.2026). In einer Organisation mit HIPAA-Konfiguration gilt der Auto-Start nicht: Dort beginnt eine Sitzung im Terminal und in VS Code ab Version 2.1.285 im manuellen Modus, solange nichts anderes den Startmodus festlegt (gesehen am 17.10.2026).
Originalarbeiterreichbar
Breaking Claude Code Opus 5 Auto Mode (externe Seite, embracethered.com)
embracethered.comgeprüft 10.11.2026
Johann Rehbergers Bericht vom 26.08.2026. Er lässt Claude Code im Auto-Modus eine Webseite zusammenfassen und erreicht darüber die Ausführung eigenen Codes, in drei bis vier von fünf Läufen je Variante. Der Autor nennt seine Stichprobe selbst klein und ihre Aussagekraft begrenzt. Wichtiger als die Quote ist seine Rechnung daneben: Die von Anthropic beauftragte Messung mit null Prozent lief über 72 feste Fälle mit je zehn Wiederholungen, also können beide Befunde gleichzeitig zutreffen. Im Abschnitt Disclosure berichtet er, Anthropic habe die Meldung als Informative geschlossen: Das Verhalten sei so vorgesehen, die eigentliche Grenze liege bei Isolation durch das Betriebssystem und Kontrolle des Netzverkehrs nach außen. Daneben fünf Regeln für unbeaufsichtigte Agenten.
Ankündigung des Herstellerserreichbar
Auto Mode Default in Claude Code (externe Seite, claude.com)
claude.comgeprüft 10.11.2026
Anthropics Ankündigung vom 07.08.2026, mit der der Auto-Modus ab dem 14.08.2026 zur Voreinstellung auf den Plänen Pro, Max und Team wurde. Der Beitrag begründet den Schritt mit eigenen Messungen: Freigabefragen werden zu 97 Prozent bejaht, während dieselben Menschen einem vorgelegten Plan in 39 Prozent der Fälle widersprechen. In einem Versuch mit 1.053 bezahlten Fachleuten erkannte die menschliche Prüfung 13,6 Prozent der gefährlichen Befehle, der Klassifikator 89 Prozent, und die menschliche Quote fiel im Lauf einer Sitzung von 17 auf 5 Prozent. Eine von Trajectory Labs geprüfte Reihe von 720 Angriffen über eine Browser-Anbindung blieb gegen Fable 5, Opus 5 und Sonnet 5 im Auto-Modus ohne Erfolg. Der Beitrag sagt selbst, wie weit seine Zahlen reichen: Die Fehlerquote gegen Angriffe ist an einem eigens dafür gebauten Angriffssatz gemessen. Über den Alltag sagt sie nichts.