Coding-Agenten bremsen Reverse Engineering aus

Vor einem Monat war es noch das Spielzeug der Saison: Mit Reverse Engineer Anything, kurz REA, einem MCP-Server für Claude Code und Codex, zerlegten Leute die Firmware ihres Smart-TVs oder das Netzwerkprotokoll ihres 3D-Druckers. Jetzt häufen sich die Berichte, dass die Agenten dabei aussteigen. 404 Media hat sie am 10.11.2026 gesammelt. Ein offizielles Verbot gibt es bei keinem der beiden Anbieter. Was es gibt, sind Klassifikatoren, die bei Binäranalyse anspringen.

Claude Code: kein Verbot, aber ein Modellwechsel

Bei Anthropic ist das Verhalten dokumentiert, nur nicht unter dem Stichwort Reverse Engineering. Laut Claude-Code-Doku laufen die Fable-Modelle, Opus 5.5, Sonnet 5.5 und Opus 5 mit Sicherheitsklassifikatoren, die vor allem bei Cybersecurity und Biologie anschlagen. Markiert ein Klassifikator eine Anfrage bei Fable oder Opus 5.5 als Cyber-Thema, läuft sie erneut auf Opus 4.8, und die Session bleibt danach auf diesem Modell. Zurück geht es mit /model.

Welche Aufgaben betroffen sind, schreibt Anthropic in der Ankündigung zu Fable 5.2: Penetrationstests, Exploit-Generierung und Schwachstellenanalyse an Binärdateien. Genau Letzteres ist der Kern von Reverse Engineering. Die Doku sagt auch, dass das kein Kontoproblem ist: Offensive Security, Penetrationstests und CTF-Übungen lösen den Fallback "frequently, often on the first request" aus, "This is expected routing for these domains, not an account flag."

Im Issue-Tracker von Claude Code stehen seit September mehrere Meldungen über Fehlalarme, etwa bei der Analyse eines Netzwerktreibers für den eigenen Bambu-3D-Drucker oder beim Reverse Engineering eines Retro-Spiels mit Ghidra. Eine Antwort von Anthropic, die speziell auf Reverse Engineering eingeht, haben wir nicht gefunden.

Die Usage Policy verbietet, Schwachstellen in fremden Systemen ohne Erlaubnis zu suchen oder auszunutzen. Sicherheitsforschung an Systemen, die man selbst besitzt oder betreibt, schließt sie ausdrücklich nicht aus. Der Klassifikator kann das aber nicht unterscheiden, er sieht nur die Aufgabe.

Bei Codex trifft es die Konten

Bei OpenAI wiegt es schwerer, weil nicht das Modell wechselt, sondern Konten eingeschränkt oder gesperrt werden. 404 Media nennt unter anderem einen Entwickler, der nach Arbeit an Samsung-TVs gesperrt wurde. Er schreibt auf X, er habe OpenAI nie zum Ausnutzen von Lücken verwendet, "only local reverse engineering which tripped daybreak". Daybreak ist OpenAIs Programm für Cyber-Zugänge samt Schutzmechanismen.

Ein OpenAI-Mitarbeiter, laut 404 Media Tarun Gogineni, antwortete am 26.10.2026 auf X: "these blocks are mostly accidental and a result of difficult decision boundaries; there is no prohibition against reverse engineering with codex. it's getting fixed". Eine offizielle Stellungnahme oder eine Änderung der Richtlinien gibt es dazu nicht. OpenAIs Codex-Doku räumt aber ein: "Legitimate cybersecurity or unrelated activity can still trigger a safeguard." Fehlalarme sollen über /feedback gemeldet werden.

Was ihr tun könnt

Wer Reverse Engineering beruflich braucht, etwa für Sicherheitsprüfungen eigener Produkte, Malware-Analyse oder Interoperabilität mit Altsystemen, hat drei Wege:

• Verifizierungsprogramme. Anthropic bietet das Cyber Verification Program an, auch für Einzelpersonen wie unabhängige Forscher und Open-Source-Maintainer. OpenAI hat Daybreak Blue für verifizierte defensive Arbeit, die Freigabe ist in beiden Fällen nicht garantiert.
• Mit dem Fallback leben. Opus 4.8 erledigt die Aufgaben in Claude Code weiterhin. Wer weiß, dass der Wechsel kommt, kann die Arbeit gleich dort beginnen und spart sich den Abbruch mitten in der Analyse.
• Lokale Modelle. Laut 404 Media weichen erste Security-Berater auf offene Modelle wie GLM aus. Das umgeht die Klassifikatoren, ändert aber nichts an der Rechtslage: Ob ihr eine Firmware zerlegen dürft, regeln Lizenz und Urheberrecht, nicht das Modell.

Das Muster kennen wir seit den Cyber-Klassifikatoren von Fable 5.1. Welches Modell eine Aufgabe am Ende bearbeitet, entscheidet nicht nur eure Konfiguration. Bevor sich ein Security-Workflow auf einen Agenten verlässt, gehört ein Test mit echten Aufgaben dazu.