Le chercheur en sécurité Johann Rehberger a publié une page qui fait exécuter à Claude Code le programme d'un attaquant. Anthropic annonçait un taux de réussite nul pour ce type d'injection, et l'attaque a marché dans 60 à 80 pour cent des cas. Anthropic a classé le rapport comme informatif et qualifié Auto Mode de filtre, pas de frontière de sécurité.