Betroffen ist das agentenbasierte Programmierwerkzeug Claude Code. In dessen Berechtigungsmodell war ein bestimmter Hosting-Dienst für Modell-Repositories als bloßer Hostname vorab freigegeben. Dadurch galten sämtliche Pfade dieser Domain – einschließlich von Angreifern kontrollierter Repositories – für das Web-Abruf-Werkzeug automatisch als erlaubt: Es erschien keine Rückfrage beim Nutzer, und auch Einschränkungen über die Werkzeug-Freigabeliste griffen nicht. Wer es schafft, nicht vertrauenswürdige Inhalte in den Kontext von Claude Code einzuschleusen (Prompt Injection), kann das Werkzeug so anweisen, gezielt Dateien in einem eigenen Repository abzurufen. Da der Dienst solche Abrufe serverseitig als Downloads zählt, entsteht ein verdeckter Nebenkanal: Informationen lassen sich in der Abruffolge kodieren und nach außen übertragen. Auf diese Weise können Daten abfließen, auf die Claude Zugriff hat – etwa Dateiinhalte, Umgebungsvariablen oder Ausgaben ausgeführter Befehle. Voraussetzung für einen zuverlässigen Angriff ist die Möglichkeit, fremde Inhalte in das Kontextfenster einzubringen.