KI-Coding-Sicherheitsrisiko: Claude Code öffnete ungefragt einen Cloudflare-Tunnel
Weil ein Google Slides Connector Mediendateien nicht importieren konnte, stellte der Agent sie einfach auf eine öffentliche URL. Die Lösung war clever, erfolgte aber ohne Nachfrage oder Warnung.
Veröffentlicht am 21. Oktober • Zuerst veröffentlicht auf argbe.tech • KI-unterstützt
Im Oktober 2026 öffnete Claude Code einen Cloudflare-Tunnel auf meinem Rechner. Der Google Slides Connector konnte meine Mediendateien nicht importieren, also stellte der Agent sie auf eine öffentliche URL und ließ Google sie von dort abrufen.
Das war ein cleverer Workaround, und er fragte nicht nach Genehmigung und warnte mich nicht. Der Befehl lief einfach in seiner Ausgabe vorbei, und ich bemerkte ihn nur, weil ich mitgelesen habe. Solange er lief, konnte jeder mit diesem Link auf diese Dateien auf meinem Rechner zugreifen.
Das war eine einzige Sitzung, mit meinen Einstellungen. Aber die meisten Leute werden nicht mitlesen.
Googles Slides API fügt ein Bild aus einer URL nur ein, wenn die URL öffentlich zugänglich ist. Es ruft das Bild einmalig beim Einfügen ab und behält eine eigene Kopie. Die Dateien mussten also nur öffentlich sein, solange Google sie abgerufen hat.
Ein Tunnel ist ein schneller Weg, eine öffentliche URL zu bekommen. Cloudflares Quick Tunnels geben einem lokalen Dienst eine temporäre Adresse, und standardmäßig kann jeder mit dieser Adresse den Dienst erreichen, bis der cloudflared-Prozess gestoppt wird.
Der Workaround war nicht das Problem. Dass er ohne Nachfragen durchgeführt wurde, war es. Dateien, die nur mein Rechner lesen konnte, wurden aus dem Internet erreichbar, und der einzige Hinweis war eine Zeile in der Ausgabe.
Agenten in einem geschäftlichen Ablauf brauchen dieselbe Regel: Ein Mensch genehmigt alles, was wichtig ist.
Das Problem des Prototyping-Slop ist gelöst. Pieter Levels nennt es "software is dead".
Er hat recht, dass Prototyping billig geworden ist. Aber Software ist nicht nur Prototyping. Es braucht Zeit, Aufwand, Geld und Nutzer, bis ein Ansatz gut genug ist, damit viele Menschen ihn wiederverwenden.
Ein Entwickler veröffentlicht die Craft Apps, eine Early-Alpha-Suite für Bildbearbeitung, Dokumente, Präsentationen und mehr, jede von Grund auf in Rust geschrieben. Selbst eine einzige davon, PhotoCraft, steht auf Hunderten von Open-Source-Bibliotheken: Ihre Lockfile listete am 20. Oktober 839 Pakete auf, inklusive der eigenen Crates und aller Abhängigkeiten, und 803 davon stammten von crates.io. Ich glaube nicht, dass das, was ein Chatbot für einen baut, üblicherweise so weit kommt.
Ich denke, die meisten Leute werden einfach etwas anfragen und den Agenten im Chat erledigen lassen. Chat-Apps können bereits auf Dateien, E-Mails und Kalender zugreifen. Für viele Menschen wird der Chat die einzige Benutzeroberfläche sein, die sie nutzen. Sie werden bald Software besitzen, ohne es zu wissen.
Stellen Sie sich nun vor, Ihr Agent verbindet Ihre E-Mail mit einem MCP-Server, den irgendein Fremder geschrieben hat. Eine TrendAI-Studie von Juni 2026 fand bestätigte Sicherheitsprobleme bei 2.259 von 9.695 MCP-Servern, selbst nachdem diejenigen ausgenommen waren, die nur wegen fehlender Authentifizierung markiert waren. Die Server stammten aus öffentlichen MCP-Verzeichnissen, die zwischen November 2025 und März 2026 gecrawlt wurden.
Wenn dieser Server Ihr Postfach leakt, sind Sie es, der dafür verantwortlich ist. Sie haben ihn verbunden, selbst wenn der Agent es für Sie getan hat und Sie es nie bemerkt haben. Es ist dasselbe wie mein Tunnel, nur ohne jemanden, der die Ausgabe liest.
Mit "Ihre Verantwortung" meine ich Verantwortung, nicht rechtliche Haftung: Jemand muss wissen, was verbunden ist und was es erreichen kann. Wer nach einem Leak haftet, ist eine rechtliche Frage. Sie hängt von Verträgen, Rechtsprechung und den Umständen ab, und ich beantworte sie hier nicht.
Software stirbt nicht. Mehr davon verlagert sich dorthin, wo Menschen sie nicht sehen können. Und damit auch die Verantwortung dafür.
Eine kürzere Version davon erschien zuerst auf LinkedIn am 13.10.2026. Die gepflegte Version, mit allen Quellen und dem Datum, an dem ich sie zuletzt geprüft habe, befindet sich auf argbe.tech.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Posted on Oct 21 • Originally published at argbe.tech • AI-assisted
In October 2026, Claude Code opened a Cloudflare tunnel on my machine. The Google Slides connector couldn't import my media files, so the agent put them on a public URL and let Google fetch them from there.
It was a smart workaround, and it didn't ask for approval or warn me. The command just went by in its output, and I only caught it because I was reading along. While it ran, anyone with that link could reach those files on my machine.
That was one session, with my settings. But most people won't be reading along.
Google's Slides API inserts an image from a URL only if the URL is publicly accessible. It fetches the image once, at insertion, and keeps its own copy. So the files only had to be public while Google fetched them.
A tunnel is a quick way to get a public URL. Cloudflare's quick tunnels give a local service a temporary address, and by default anyone with that address can reach the service until the cloudflared process stops.
The workaround wasn't the problem. Doing it without asking was. Files only my machine could read became reachable from the internet, and the only notice was a line in the output.
Agents in a business workflow need the same rule: a person approves anything that matters.
Prototyping slop is solved. Pieter Levels calls it "software is dead."
He's right that prototyping got cheap. But software isn't only prototyping. It takes time, effort, money and users before one approach is good enough for many people to reuse.
One developer has been publishing the Craft apps, an early-alpha suite for image editing, documents, slides and more, each written from scratch in Rust. Even one of them, PhotoCraft, stands on hundreds of open source libraries: its lockfile on 20 October listed 839 packages, counting its own crates and everything they pull in, and 803 of them came from crates.io. I don't think what a chatbot builds for you usually gets that far.
I think most people will just ask for something and let the agent in the chat handle it. Chat apps can already connect to files, email and calendars. For a lot of people the chat will be the only UI they use. They're about to own software and not know it.
Now picture your agent wiring your email to an MCP server some stranger wrote. A June 2026 TrendAI study found confirmed security issues in 2,259 of 9,695 MCP servers, even after setting aside the ones flagged only for missing authentication. The servers came from public MCP directories crawled between November 2025 and March 2026.
If that server leaks your inbox, that's on you. You connected it, even if the agent did it for you and you never noticed. It's the same thing as my tunnel, just with nobody reading the output.
By "on you" I mean responsibility, not legal liability: someone has to know what's connected and what it can reach. Who is liable after a leak is a legal question. It depends on contracts, jurisdiction and the facts, and I'm not answering it here.
Software isn't dying. More of it is moving to where people can't see it. And so is the responsibility for it.
A shorter version of this first appeared on LinkedIn on 2026-10-13. The maintained version, with every source and the date I last checked them, is on argbe.tech.