Der Sicherheitsforscher Johann Rehberger zeigt in einer am 26. August veröffentlichten Analyse, wie sich der automatische Freigabemodus von Claude Code mit einer präparierten Archivdatei umgehen lässt. In Testläufen gelang die vollständige Angriffskette mit Fernzugriff in drei von fünf, eine einfachere Variante in vier von fünf Fällen. Anthropic bewertet den Fund als informativ, nicht als Sicherheitslücke.
Präparierte ZIP-Datei schmuggelt Schadcode ein
Der Angriff beginnt mit einer manipulierten Webseite: Antwortet der Server mit dem HTTP-Statuscode 415, wechselt Claude Code vom eingebauten WebFetch-Werkzeug zur Kommandozeile und lädt die Datei stattdessen per curl herunter. Genau dieser Wechsel öffnet Rehberger zufolge den entscheidenden Spalt, weil die Software danach mit einer heruntergeladenen ZIP-Datei im Dateisystem arbeitet.
Das Archiv enthält neben scheinbar harmlosen Katalogdaten einen macOS-Decoder, verschlüsselte JSON-Datensätze und eine präparierte Datei namens struct.py. Claude Code verweigert korrekterweise, den mitgelieferten Decoder auszuführen, schreibt stattdessen aber ein eigenes Python-Skript zur Entschlüsselung. Genau diese vermeintlich sichere Entscheidung wird zur Falle: Importiert das Skript aus dem entpackten Verzeichnis heraus das Standardmodul base64, lädt Python wegen sogenannten Modul-Shadowings die gleichnamige, präparierte Datei aus dem Archiv statt der echten Systembibliothek.
Der darin versteckte Code startet einen isolierten Unterprozess, lädt eine weitere Programmstufe nach, baut eine Verbindung zu einem Kontrollserver auf und öffnet sichtbar den Taschenrechner als Nachweis der Ausführung. Der Schadprozess läuft Rehbergers Angaben zufolge auch dann weiter, wenn die Claude-Code-Sitzung längst beendet ist.
Schutzmechanismus blockiert die eigene Notbremse
In Testreihen mit kleinen Stichproben gelang die vollständige Angriffskette samt Kontrollserver-Verbindung in drei von fünf Versuchen, eine reduzierte Variante mit Dateizugriffen außerhalb des Arbeitsverzeichnisses in vier von fünf Fällen. Rehberger weist selbst darauf hin, dass die Zahlen aus kleinen Stichproben stammen und keine unabhängig verifizierte Erfolgsquote darstellen. Simon Willison bestätigte den Fund unabhängig und unterstreicht, dass eine Auto-Modus-Freigabe allein kein Sicherheitsnachweis für ausgeführten Code sei.
Bemerkenswert ist ein Detail aus den Tests: Claude erkannte die Kompromittierung in einem Fall selbst, der Auto-Modus verweigerte jedoch den Befehl, den bösartigen Prozess zu beenden – während er das Anlegen der Schadsoftware zuvor durchgewunken hatte. Der Auto-Modus ersetzt seit 14. August für Pro-, Max- und Team-Konten die manuelle Freigabe einzelner Befehle durch einen Klassifikator, der riskante Aktionen selbstständig stoppen soll. Die Umstellung sollte vor allem menschliche Nachlässigkeit ausgleichen: Nach einer unternehmenseigenen Studie übersahen Testpersonen bei manueller Prüfung neun von zehn riskanten Befehlen, die der automatische Klassifikator zuverlässig stoppte.
Anthropic verweist auf Sandboxing als eigentlichen Schutz
Rehberger meldete den Fund über das Bug-Bounty-Programm des Unternehmens. Anthropic stufte den Bericht als informativ ein, nicht als Sicherheitslücke, und erklärte laut Unternehmensangaben, der Auto-Modus sei „eine Komfortfunktion, die auf einem Klassifikator nach bestem Bemühen beruht, keine Sicherheitsgarantie”. Die eigentliche Schutzebene seien Betriebssystem-Isolation und Einschränkungen des Netzwerkzugriffs, nicht der Klassifikator selbst.
Der Fund steht in Spannung zu Anthropics eigener Kennzahl: Das Unternehmen hatte für den Auto-Modus einen unabhängigen Test mit 72 zurückgehaltenen Angriffsszenarien und insgesamt 720 Versuchen beworben, bei dem kein einziger Angriff erfolgreich war. Diese feste Testreihe deckt die von Rehberger genutzte Technik nicht ab – ein Ergebnis von null Prozent auf einem begrenzten Szenarien-Katalog schließt neue, kreative Angriffswege wie Modul-Shadowing nicht aus.
Der Forscher rät Entwicklern, Coding-Agenten grundsätzlich in Containern, virtuellen Maschinen oder Betriebssystem-Sandboxes laufen zu lassen, den Netzwerkzugriff einzuschränken und sensible Daten wie SSH-Schlüssel von der Arbeitsumgebung fernzuhalten.
Offen bleibt, ob Anthropic den Klassifikator mit dieser konkreten Technik nachschult oder Sandboxing künftig verbindlich vorschreibt. Für Teams, die Coding-Agenten bereits produktiv einsetzen, verschiebt der Fund die Verantwortung von der Software zurück auf die eigene Systemarchitektur – wer keine Sandbox betreibt, verlässt sich allein auf einen Klassifikator, den der eigene Hersteller ausdrücklich nicht als Sicherheitsgarantie bezeichnet.
