Null-Byte umgeht Netzwerk-Allowlist in Claude Code Sandbox-Bypass öffnet Claude Code für Prompt-Injection-Angriffe

Ein eingebettetes Null-Byte in einem präparierten Hostnamen schleust Datenverkehr an der Netzwerk-Allowlist von Claude Code vorbei. In Kom­bi­na­ti­on mit Prompt Injection ermöglicht der Bypass Datenabfluss aus KI-gestützten Entwicklungsumgebungen. Anthropic und der Entdecker streiten über den genauen Zeitpunkt der Korrektur.

Ein Sicherheitsforscher meldet einen Bypass der Netzwerk-Sandbox von Claude Code, dem Kommandozeilen-Tool von Anthropic für KI-gestützte Programmierung. Die Sandbox leitet ausgehenden Datenverkehr über einen lokalen Proxy mit Allowlist und blockiert Verbindungen zu nicht freigegebenen Zielen. Über eine Schwäche in der Hostnamen-Prüfung erreicht der Verkehr dennoch ein vom Angreifer bestimmtes Ziel.

KI-Willkür?

Claude löscht Live-Datenbank und verursacht Ausfall

Null-Byte im SOCKS5-Hostnamen

Die Sandbox steht seit dem 20.10.2025 allgemein zur Verfügung. Der vom Forscher Aonan Guan beschriebene Bypass setzt an der Verarbeitung von SOCKS5-Hostnamen an und nutzt ein eingebettetes Null-Byte. Erlaubt die Regel ausschließlich Ziele unter *.google.com, übergibt der Angreifer einen Hostnamen der Form attacker-host.com\x00.google.com. Die Prüfung erkennt die Endung .google.com und gibt die Verbindung frei. Das Betriebssystem schneidet den Namen am Null-Byte ab und baut die Verbindung zu attacker-host.com auf. Damit umgeht der Datenverkehr die Allowlist und verlässt die freigegebene Umgebung.

Update: Einschätzung von Googles VP Threat Intelligence

Diese enorme Gefahr geht von Anthropics neuem KI-Modell aus

Betroffene Versionen und der Zeitpunkt der Korrektur

Guan meldete die Schwäche am 03.04.2026 über das Bug-Bounty-Programm von Anthropic auf HackerOne. Anthropic stufte den Bericht als Duplikat ein. Nach Angaben des Forschers bestand die Lücke von der allgemeinen Verfügbarkeit am 20.10.2025 bis zur Version 2.1.90 im April 2026.

Anthropic widerspricht dieser Darstellung. Nach Unternehmensangaben hatte das Sicherheitsteam das Problem bereits vor Eingang des Berichts erkannt und behoben. Die Korrektur floss am 27.03.2026 in einen öffentlichen Commit des Repositories sandbox-runtime und gelangte am 31.03.2026 mit Claude Code 2.1.88 in die Auslieferung. Zur betroffenen Version bleiben die Angaben uneinheitlich. Zur Einordnung: Guan nennt 2.1.90 als letzte betroffene Version, Anthropic nennt 2.1.88 als erste korrigierte Version. Beide Angaben können korrekt sein, wenn der Fix in 2.1.88 eingeflossen, aber erst in 2.1.90 vollständig wirksam war.

KI und das Ende der digitalen Sicherheit, wie wir sie kennen

Claude Mythos markiert eine Zäsur für die Cybersicherheit

Risiko in Verbindung mit Prompt Injection

Guan beschreibt den Bypass als Baustein eines größeren Angriffs. In Kombination mit einer Prompt Injection lässt sich Datenabfluss erreichen, darunter Umgebungsvariablen, Zugangsdaten, Token und Infrastrukturdaten. Als passende Methode nennt der Forscher die von ihm dokumentierte Technik Comment and Control, eine Anspielung auf Command and Control, die KI-Agenten über präparierte Code-Kommentare und Issue-Texte kapert. Sie kapert KI-Agenten in GitHub Actions über präparierte Kommentare, Pull-Request-Titel und Issue-Texte. Betroffen von der Comment-and-Control-Technik sind unter anderem Claude Code Security Review, Gemini CLI Action und GitHub Copilot Agent.

Mean Time to Exploit schrumpft 2026 auf unter einen Tag

Claude Mythos und das Ende der Kostenbarriere für Cyberangriffe

Offenlegung über eine separate Bibliothek

Neben dem von Guan gemeldeten Problem existiert ein zweiter, von einem anderen Forscher entdeckter Bypass mit der Kennung CVE-2025-66479. Hier interpretierte die Sandbox eine Einstellung zum Blockieren des gesamten ausgehenden Verkehrs als Freigabe für alle Ziele. Anthropic behob diesen Fehler mit einem Update vom 26.11.2025.

Die Kennung CVE-2025-66479 verweist auf die Bibliothek sandbox-runtime, nicht auf das Tool Claude Code selbst. Ein Hinweis an die Nutzer von Claude Code unterblieb. Guan kritisiert, dass auch seine Schwäche keine CVE-Kennung erhielt und in den Release Notes fehlt. Anwender mit der anfälligen Konfiguration konnten zwischen dem 20.10.2025 und dem 26.11.2025 nicht erkennen, dass die Sandbox ohne Wirkung blieb.

Missbrauch von KI

Regierungsdaten mithilfe von LLM Claude gestohlen

Fazit

Beide Schwächen sind in aktuellen Versionen von Claude Code behoben. Die Episode zeigt die Schwierigkeit, eine als eigene Bibliothek gepflegte Sandbox-Komponente für die Nutzer des darauf aufsetzenden Tools sichtbar zu halten. Eine CVE-Kennung auf der Ebene von sandbox-runtime erreicht die Anwender von Claude Code nicht zwangsläufig. Der Zeitpunkt der Korrektur bleibt zwischen Hersteller und Entdecker strittig.

Bei Project Glasswing bleibt Europa außen vor

Was Claude Mythos für europäische IT-Entscheider bedeutet

(ID:50859705)