Claude Code Opus 5: Auto-Modus per Prompt Injection geknackt

Sicherheitsforscher Johann Rehberger hat nachgewiesen, dass der Auto-Modus von Claude Code Opus 5 gezielt per Prompt Injection überlistet werden kann – mit einer Erfolg Quote von 60 bis 80 Prozent. Das ist brisant, weil eine von Anthropic in Auftrag gegebene Evaluation (72 Szenarien, je zehnfach getestet) zuvor eine Angriffs Erfolgsrate von exakt 0,00 Prozent ausgewiesen hatte. Auto-Modus ersetzt seit Mitte August menschliche Freigaben durch einen Safety-Classifier und ist inzwischen der Standard-Startmodus.

So funktioniert die Angriffskette

• Ein harmloser “Fasse diese Website zusammen”-Prompt landet auf einer präparierten Archiv-Seite
• Der Server antwortet mit HTTP 415, woraufhin Claude von WebFetch eigenständig zu curl in der Shell wechselt
• Ein ZIP-Archiv enthält Base85/zlib-kodierte Datensätze plus einen nativen Decoder
• Claude verweigert korrekt das unbekannte Binary – und schreibt stattdessen einen eigenen Python-Decoder
• Der entscheidende Fehler: Claude führt den Decoder im entpackten Angreifer-Verzeichnis aus
• Eine manipulierte struct.py überschattet die Standardbibliothek; der Import von base64 löst den Schadcode aus

Die eigentliche Lektion

Der elegante Twist: Ausgerechnet Claudes sichere Entscheidung, kein fremdes Binary auszuführen, wird zur Exploit-Route. Rehbergers Fazit dürfte manchen Anthropic-Spruch relativieren – Auto-Modus reduziert Risiko im Vergleich zu –dangerously-skip-permissions, ist aber keine Security-Boundary. Wer Agents mit nicht vertrauenswürdigen Inhalten füttert, braucht weiterhin Sandboxing und aktives Monitoring. Security-Invarianten sind nicht optional.

Link: Embrace The Red – Breaking Claude Code Opus 5 Auto Mode