Kurz gesagt: Der Auslösemechanismus lässt sich fälschen. Eine harmlose Kollaborationsfunktion wird so zur Angriffsfläche für Prompt-Injection, bei der jede Nachricht mit dem Trigger-String die Aufmerksamkeit und die Fähigkeiten des Agenten kapern kann.

Wie Claude Tag als „Always-On“-KI-Teamkollege funktioniert

Anthropic brachte Claude Tag am 23. Juni 2026 auf den Markt – als direkten Ersatz für die ältere „Claude in Slack“-Integration, die am 3. August 2026 eingestellt wurde . Claude Tag ist kein persönlicher Chatbot. Es ist ein ständig präsenter, gemeinsamer Teilnehmer in einem Slack-Channel mit eigener Identität, eigenem Gedächtnis und Zugriff auf Tools. Jeder autorisierte Kanalteilnehmer kann @Claude erwähnen, um Aufgaben zu delegieren. Der KI arbeitet asynchron und für alle sichtbar im Channel .

Claude Tag arbeitet im sogenannten „Ambient“-Modus: Es verfolgt Gespräche kontinuierlich, lernt den Kontext des Channels und meldet sich proaktiv, um Updates zu signalisieren oder Aufgaben zu identifizieren . Seine Berechtigungen gelten pro Channel und nicht pro Benutzer. Administratoren können für jeden Channel eigene Tool-Sets, Datenzugriffe und Ausgabenlimits festlegen .

Im Hintergrund läuft jede Claude-Tag-Sitzung auf dem Opus 4.8-Modell in einer von Anthropic verwalteten Linux-MicroVM. Die Anmeldedaten für Verbindungen werden außerhalb der VM gespeichert, der Netzwerkzugriff erfolgt über einen Proxy, und die Tools sind schreibgeschützt, um eine Isolation zu gewährleisten . Die Nutzung eines Channels wird dem Unternehmen zu API-Konditionen in Rechnung gestellt – nicht pro Sitzplatz –, was traditionelle Preismodelle für Unternehmenssoftware umkehrt .

Die breiteren Implikationen für die Sicherheit von KI-Agenten im Unternehmen

Der Befund von Tego AI steht nicht für sich allein. Er wird von zwei weiteren großen Sicherheitsvorfällen Mitte 2026 begleitet, die zusammen eine Krise in der Sicherheit von KI-Agenten in Unternehmen offenbaren.

Der versteckte Tracking-Mechanismus in Claude Code

Am 30. Juni 2026 deckte der unabhängige Forscher „Thereallo“ durch Reverse Engineering von Claude Code auf, dass das Tool obfuskierten JavaScript-Code enthielt, der heimlich den geografischen Standort der Benutzer (über Zeitzonen-Prüfungen) ermittelte und die System-Prompts mit optisch identischen, aber anderen Unicode-Zeichen modifizierte – etwa ein geschwungenes statt eines geraden Apostrophs oder einen Schrägstrich statt eines Bindestrichs. Diese Änderung diente als heimlicher Tracking-Marker, den Anthropics Backend erkennen konnte . Chinas Nationale Verwundbarkeitsdatenbank (NVDB) stufte dies am 8. Juli als formellen „Backdoor“-Sicherheitsalarm für die Claude-Code-Versionen 2.1.91 bis 2.1.196 ein . Alibaba verbot daraufhin die interne Nutzung von Claude Code . Anthropic bezeichnete die Funktion als „Anti-Missbrauchs-Experiment“ und entfernte sie am 1. Juli .

Systemweite MCP-Schwachstellen

Das Model Context Protocol (MCP), die Infrastruktur, die Claude Tag und viele andere KI-Agenten mit externen Tools und Daten verbindet, weist systemische Designfehler auf. Die wichtigsten Erkenntnisse aus dem Jahr 2026:

• Ein Fehler in der MCP-Referenzimplementierung, der Betriebssystembefehle ohne Bereinigung ausführt, legte schätzungsweise ~200.000 anfällige MCP-Instanzen in einer Lieferkette mit über 150 Millionen Paket-Downloads offen .
• Ein Scan von 560 MCP-Servern ergab, dass 38 % keinerlei Authentifizierung hatten. 43 % der CVEs betreffen exec() oder Shell-Injection, 13 % betreffen Path-Traversal .
• Es haben sich neue Angriffsklassen herausgebildet, darunter „Halluzinationsbasierte Schwachstellen“ (HBVs), bei denen vage Tool-Beschreibungen dazu führen, dass das LLM sich selbst zu viele Rechte einräumt oder unbeabsichtigte Aktionen ausführt .
• Tool Poisoning, Rug-Pull-Angriffe und Cross-Server Shadowing wurden alle im MCP-Ökosystem demonstriert, einschließlich eines Proof-of-Concept, bei dem die Cursor-IDE vollständig über MCP kompromittiert wurde .

Was das für Unternehmen bedeutet

Unternehmen, die Claude Tag und ähnliche KI-Agenten einsetzen, stehen vor einer dreifachen Bedrohung: Prompt-Injection-Angriffsflächen auf der Auslöseebene der Agenten (Tego-AI-Befund), intransparentes Tracking auf der Anbieterseite in den Agenten-Tools (Claude-Code-Tracker) und grundlegend unsichere Infrastruktur-Standards im MCP-Ökosystem, das Agenten mit Tools und Daten verbindet.

Identitäts- und Zugriffskontrollfehler wirken sich schnell aus, wenn ein persistenter Agent wie Claude Tag über umfassende Tool-Zugriffe verfügt und durch gefälschte Erwähnungen ausgelöst werden kann . Traditionelle API-Governance ist für agentische Workflows unzureichend, da Agenten nicht per-Benutzer-Berechtigungsmodellen oder Anfrage-Antwort-Mustern folgen . Das Lieferkettenrisiko ist enorm: Eine Schwachstelle in der MCP-Referenzimplementierung überträgt sich auf jede nachgelagerte Bereitstellung . Transparenz und Prüfbarkeit bleiben kritische Probleme – der Claude-Code-Tracker war in minimiertem JavaScript versteckt und wurde nur durch externes Reverse Engineering entdeckt. Sicherheitsteams in Unternehmen können sich nicht auf die Selbstauskunft der Anbieter verlassen .

Die Regulierungsbehörden reagieren bereits, wie die staatlichen Warnungen der chinesischen NVDB und das Verbot durch Alibaba zeigen . Das Gesamtbild zeigt, dass die Sicherheit von KI-Agenten im Unternehmen im Jahr 2026 einen grundlegend neuen Ansatz erfordert – einen, der persistente Agenten als kritische Infrastruktur behandelt und mit strengen Identitäts-, Zugriffs- und Lieferkettenkontrollen absichert.

Die wichtigsten Erkenntnisse

• Fälschbarer Auslöser: Claude Tag reagiert auf den Buchstaben-Text @Claude, selbst wenn dieser von automatisierten Quellen stammt, was Prompt-Injection-Angriffe ermöglicht .
• Always-On-Architektur: Claude Tag ist ein persistenter, Channel-bezogener KI-Teamkollege, der auf Opus 4.8 in einer MicroVM läuft und zu API-Konditionen abgerechnet wird .
• Dreifache Bedrohung: Die Tego-Schwachstelle tritt zusammen mit dem versteckten Claude-Code-Tracker und systemischen MCP-Infrastruktur-Fehlern auf und schafft so eine schwerwiegende Risikolandschaft für Unternehmen .
• Proaktive Kontrollen erforderlich: Zugriffe pro Channel begrenzen, Aktionen der Agenten prüfen, auf die MCP-Spezifikation von 2026 aktualisieren und regelmäßige Sicherheitsüberprüfungen durchführen .

Kurz gesagt: Der Auslösemechanismus lässt sich fälschen. Eine harmlose Kollaborationsfunktion wird so zur Angriffsfläche für Prompt-Injection, bei der jede Nachricht mit dem Trigger-String die Aufmerksamkeit und die Fähigkeiten des Agenten kapern kann.

Wie Claude Tag als „Always-On“-KI-Teamkollege funktioniert

Anthropic brachte Claude Tag am 23. Juni 2026 auf den Markt – als direkten Ersatz für die ältere „Claude in Slack“-Integration, die am 3. August 2026 eingestellt wurde . Claude Tag ist kein persönlicher Chatbot. Es ist ein ständig präsenter, gemeinsamer Teilnehmer in einem Slack-Channel mit eigener Identität, eigenem Gedächtnis und Zugriff auf Tools. Jeder autorisierte Kanalteilnehmer kann @Claude erwähnen, um Aufgaben zu delegieren. Der KI arbeitet asynchron und für alle sichtbar im Channel .

Claude Tag arbeitet im sogenannten „Ambient“-Modus: Es verfolgt Gespräche kontinuierlich, lernt den Kontext des Channels und meldet sich proaktiv, um Updates zu signalisieren oder Aufgaben zu identifizieren . Seine Berechtigungen gelten pro Channel und nicht pro Benutzer. Administratoren können für jeden Channel eigene Tool-Sets, Datenzugriffe und Ausgabenlimits festlegen .

Im Hintergrund läuft jede Claude-Tag-Sitzung auf dem Opus 4.8-Modell in einer von Anthropic verwalteten Linux-MicroVM. Die Anmeldedaten für Verbindungen werden außerhalb der VM gespeichert, der Netzwerkzugriff erfolgt über einen Proxy, und die Tools sind schreibgeschützt, um eine Isolation zu gewährleisten . Die Nutzung eines Channels wird dem Unternehmen zu API-Konditionen in Rechnung gestellt – nicht pro Sitzplatz –, was traditionelle Preismodelle für Unternehmenssoftware umkehrt .

Die breiteren Implikationen für die Sicherheit von KI-Agenten im Unternehmen

Der Befund von Tego AI steht nicht für sich allein. Er wird von zwei weiteren großen Sicherheitsvorfällen Mitte 2026 begleitet, die zusammen eine Krise in der Sicherheit von KI-Agenten in Unternehmen offenbaren.

Der versteckte Tracking-Mechanismus in Claude Code

Am 30. Juni 2026 deckte der unabhängige Forscher „Thereallo“ durch Reverse Engineering von Claude Code auf, dass das Tool obfuskierten JavaScript-Code enthielt, der heimlich den geografischen Standort der Benutzer (über Zeitzonen-Prüfungen) ermittelte und die System-Prompts mit optisch identischen, aber anderen Unicode-Zeichen modifizierte – etwa ein geschwungenes statt eines geraden Apostrophs oder einen Schrägstrich statt eines Bindestrichs. Diese Änderung diente als heimlicher Tracking-Marker, den Anthropics Backend erkennen konnte . Chinas Nationale Verwundbarkeitsdatenbank (NVDB) stufte dies am 8. Juli als formellen „Backdoor“-Sicherheitsalarm für die Claude-Code-Versionen 2.1.91 bis 2.1.196 ein . Alibaba verbot daraufhin die interne Nutzung von Claude Code . Anthropic bezeichnete die Funktion als „Anti-Missbrauchs-Experiment“ und entfernte sie am 1. Juli .

Systemweite MCP-Schwachstellen

Das Model Context Protocol (MCP), die Infrastruktur, die Claude Tag und viele andere KI-Agenten mit externen Tools und Daten verbindet, weist systemische Designfehler auf. Die wichtigsten Erkenntnisse aus dem Jahr 2026:

• Ein Fehler in der MCP-Referenzimplementierung, der Betriebssystembefehle ohne Bereinigung ausführt, legte schätzungsweise ~200.000 anfällige MCP-Instanzen in einer Lieferkette mit über 150 Millionen Paket-Downloads offen .
• Ein Scan von 560 MCP-Servern ergab, dass 38 % keinerlei Authentifizierung hatten. 43 % der CVEs betreffen exec() oder Shell-Injection, 13 % betreffen Path-Traversal .
• Es haben sich neue Angriffsklassen herausgebildet, darunter „Halluzinationsbasierte Schwachstellen“ (HBVs), bei denen vage Tool-Beschreibungen dazu führen, dass das LLM sich selbst zu viele Rechte einräumt oder unbeabsichtigte Aktionen ausführt .
• Tool Poisoning, Rug-Pull-Angriffe und Cross-Server Shadowing wurden alle im MCP-Ökosystem demonstriert, einschließlich eines Proof-of-Concept, bei dem die Cursor-IDE vollständig über MCP kompromittiert wurde .

Was das für Unternehmen bedeutet

Unternehmen, die Claude Tag und ähnliche KI-Agenten einsetzen, stehen vor einer dreifachen Bedrohung: Prompt-Injection-Angriffsflächen auf der Auslöseebene der Agenten (Tego-AI-Befund), intransparentes Tracking auf der Anbieterseite in den Agenten-Tools (Claude-Code-Tracker) und grundlegend unsichere Infrastruktur-Standards im MCP-Ökosystem, das Agenten mit Tools und Daten verbindet.

Identitäts- und Zugriffskontrollfehler wirken sich schnell aus, wenn ein persistenter Agent wie Claude Tag über umfassende Tool-Zugriffe verfügt und durch gefälschte Erwähnungen ausgelöst werden kann . Traditionelle API-Governance ist für agentische Workflows unzureichend, da Agenten nicht per-Benutzer-Berechtigungsmodellen oder Anfrage-Antwort-Mustern folgen . Das Lieferkettenrisiko ist enorm: Eine Schwachstelle in der MCP-Referenzimplementierung überträgt sich auf jede nachgelagerte Bereitstellung . Transparenz und Prüfbarkeit bleiben kritische Probleme – der Claude-Code-Tracker war in minimiertem JavaScript versteckt und wurde nur durch externes Reverse Engineering entdeckt. Sicherheitsteams in Unternehmen können sich nicht auf die Selbstauskunft der Anbieter verlassen .

Die Regulierungsbehörden reagieren bereits, wie die staatlichen Warnungen der chinesischen NVDB und das Verbot durch Alibaba zeigen . Das Gesamtbild zeigt, dass die Sicherheit von KI-Agenten im Unternehmen im Jahr 2026 einen grundlegend neuen Ansatz erfordert – einen, der persistente Agenten als kritische Infrastruktur behandelt und mit strengen Identitäts-, Zugriffs- und Lieferkettenkontrollen absichert.

Die wichtigsten Erkenntnisse

• Fälschbarer Auslöser: Claude Tag reagiert auf den Buchstaben-Text @Claude, selbst wenn dieser von automatisierten Quellen stammt, was Prompt-Injection-Angriffe ermöglicht .
• Always-On-Architektur: Claude Tag ist ein persistenter, Channel-bezogener KI-Teamkollege, der auf Opus 4.8 in einer MicroVM läuft und zu API-Konditionen abgerechnet wird .
• Dreifache Bedrohung: Die Tego-Schwachstelle tritt zusammen mit dem versteckten Claude-Code-Tracker und systemischen MCP-Infrastruktur-Fehlern auf und schafft so eine schwerwiegende Risikolandschaft für Unternehmen .
• Proaktive Kontrollen erforderlich: Zugriffe pro Channel begrenzen, Aktionen der Agenten prüfen, auf die MCP-Spezifikation von 2026 aktualisieren und regelmäßige Sicherheitsüberprüfungen durchführen .