Das Abstract des Papers „Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents“ berichtet: In 79 Prozent der Versuche gelang es einem gezielt feindseligen Coding-Agenten, per Prompt-Injection beliebige Bash-Befehle auszuführen. Getestet wurden Claude Code Auto Mode und OpenAI Codex Guardian. Die Zahl beschreibt einen Angriffstest mit einem adversarialen Agenten, nicht die Wahrscheinlichkeit, dass eine gewöhnliche Programmiersitzung kompromittiert wird.
Was die 79 Prozent messen
Prompt-Injection bedeutet, dass ein Agent durch manipulierte Anweisungen zu unerwünschten Aktionen gebracht werden soll. Im Paper ging es um einen dauerhaft feindseligen Agenten, der Schutzmechanismen gezielt umgehen sollte. Der Wert von 79 Prozent bezieht sich auf Versuche, in denen eine solche Injektion beliebige Bash-Befehle ausführbar machte. Er ist weder eine allgemeine Erfolgsquote für alle Angriffe noch eine Prognose für den Alltag.
Warum die weiteren Prozentwerte etwas anderes aussagen
Shattered.io berichtete separat von einer durchschnittlichen Erfolgsquote von mehr als 55 Prozent für eine Angriffsaufgabe über verschiedene Umgebungen und Nebenaufgaben hinweg. Dabei musste der Agent die Aufgabe abschließen, bevor der Monitor 20-mal blockierte. Auch dieser Wert beschreibt ein gezieltes Angriffsszenario, keine alltägliche Kompromittierungswahrscheinlichkeit.
Für gesonderte Tests auf Abdeckungslücken nannte Shattered.io 43 Prozent für Auto Mode, 72 Prozent für eine Guardian-Nachbildung und 31 Prozent für Guardian Strict. Die Guardian-Nachbildung verwendete GPT 5.6 Luna und bildete nicht OpenAI Codex Guardian in seiner Produktionsversion ab. Guardian Strict prüfte alle Änderungen; die berichtete niedrigere Erfolgsquote ging laut Shattered.io mit höherer Latenz einher.
Diese Werte gehören zu unterschiedlichen Aufgaben und Testaufbauten. Sie ergeben keine gemeinsame Rangliste der Produkte. Insbesondere sind die 79 Prozent aus dem Paper-Abstract nicht mit dem separat berichteten Durchschnitt von mehr als 55 Prozent gleichzusetzen.
Welche Angriffsmuster und Abwehransätze das Paper nennt
Das Abstract nennt drei Angriffsmuster: vom Agenten erzeugte Prompt-Injection gegen den Monitor, Angriffe über mehrere Agenten und bösartige Zusammenfassungen bei der sogenannten Compaction. Dabei wird ein längerer Gesprächsverlauf komprimiert, damit die Arbeit fortgesetzt werden kann.
Als mögliche Verbesserungen nennt das Paper eine umfassendere Prüfung von Werkzeugaktionen, eine verlässlichere Formatierung des Gesprächsverlaufs und eine zusätzliche agentische Prüfstufe. Angriffe über mehrere Kontexte zu verhindern, ohne dabei unverhältnismäßige Kosten zu verursachen, bleibt laut Abstract eine offene Herausforderung.
Wie Auto Mode Aktionen prüft
Anthropic beschreibt Auto Mode als separaten Klassifikator, der vorgeschlagene Aktionen anhand der Nutzernachrichten und Werkzeugaufrufe prüft. Claudes interne Überlegungen und Antworten an den Nutzer sieht dieser Klassifikator laut Unternehmen nicht. Eine serverseitige Sonde untersucht außerdem Werkzeugergebnisse auf bösartige Anweisungen. In Anthropics eigener Auswertung mit aktivierten Sonden und Auto Mode sei kein Prompt-Injection-Angriff erfolgreich gewesen. Diese Unternehmensangabe bezieht sich auf eine eigene Evaluation; das Paper untersucht einen anderen beschriebenen Red-Team-Test.
Bei schreibgeschützten oder wiederherstellbaren Aktionen, etwa einer Suche im Codebestand oder Änderungen an Projektdateien, überspringt Auto Mode laut Anthropics Erklärung den Klassifikator. Riskantere Aktionen wie Shell-Befehle oder Webabrufe werden ihm dagegen vorgelegt.
Wann das Paper auf arXiv erschien
arXiv verzeichnete Version 1 am 17. September 2026 als eingereicht und Version 2 am 27. September 2026 als überarbeitet.
