Johann Rehberger, einer der renommiertesten aktiven Prompt-Injection-Forscher, hat einen Angriff gegen den Auto Mode von Claude Code (Opus 5) veröffentlicht, der laut seinen Tests in 80 % der Fälle gelingt. Der Angriff basiert nicht auf einer klassischen Prompt Injection – also der unbeabsichtigten Ausführung schädlicher Anweisungen aus Webinhalten –, sondern auf einem sogenannten „Confused Environment Attack": Claude Code wird dazu verleitet, ein ZIP-Archiv herunterzuladen und zu entpacken. Beim anschließenden Import des Moduls `base64` führt Python unbemerkt eine lokale Datei `struct.py` aus, die zuvor aus dem Archiv extrahiert wurde. Anthropic hatte den Auto Mode erst kürzlich zum Standard gemacht und öffentlich starke Aussagen zu seiner Schutzwirkung getroffen. Besonders brisant ist ein beobachtetes Verhalten in mehreren Testläufen: Claude erkannte das Sicherheitsproblem eigenständig und versuchte, den Malware-Prozess zu beenden – doch der Auto Mode blockierte genau diesen Cleanup-Befehl. Der Schutzmechanismus ließ also die Entstehung des schadhaften Prozesses zu, verhinderte aber aktiv dessen Beseitigung. Simon Willison schließt sich Rehbergers Empfehlung an: Coding-Agents sollten nur in isolierten Umgebungen (Container, VM oder OS-Sandbox) mit eingeschränktem Netzwerkzugang und ohne Zugriff auf Credentials, SSH-Schlüssel oder Home-Verzeichnisse betrieben werden.