Anthropic stellt Claude Code standardmäßig auf autonomen Modus um und verweist auf höhere Sicherheit als menschliche Prüfung
Wichtige Erkenntnisse
- •Anthropic macht den Auto-Modus ab dem 14. August für neue Claude-Code-Sitzungen von Pro-, Max- und Team-Abonnenten zum Standard; Enterprise- und API-Bereitstellungen bleiben opt-in.
- •Eine kontrollierte Studie mit 1.053 professionellen Testern ergab, dass der Auto-Modus 89% schädlicher Befehle erkannte, während menschliche Prüfer nur 13,6% erkannten.
- •Unabhängige Tests von Trajectory Labs zeigten, dass Anthropics Modelle im Auto-Modus alle 720 Prompt-Injection-Versuche abwehrten, während OpenAIs GPT-5.6 Sol eine Angreifer-Erfolgsrate von 5,83% hatte.
- •Der Auto-Modus wechselt nach drei aufeinanderfolgenden Blockierungen oder 20 Blockierungen in einer Sitzung automatisch zurück zur manuellen Freigabe.
- •Anthropic berechnet Pro-, Max- und Team-Pläne seit dem 7. August nicht mehr für vom Klassifikator verbrauchte Tokens, auch wenn längere autonome Läufe die Gesamtnutzung erhöhen können.
Ab dem 14. August stellt Anthropic für neue Claude-Code-Sitzungen den Standardmodus für Pro-, Max- und Team-Abonnenten auf „auto“ um. Die Änderung ermöglicht es dem Coding-Agenten des Unternehmens, länger zu arbeiten, bevor er für eine menschliche Freigabe anhält. Laut den Tests von Anthropic blockiert der Auto-Modus gefährlichere Befehle als Entwickler, die Prompts manuell prüfen. Der Schritt positioniert Anthropic an der Spitze eines branchenweiten Vorstoßes von KI-Labors – darunter OpenAI, Google und GitHub –, Coding-Agenten autonomer zu machen, doch Anthropic vertritt die ungewöhnliche Ansicht, dass das Entfernen von Menschen aus routinemäßigen Freigaben die Sicherheit tatsächlich verbessert.
Der Auto-Modus leitet alle Tool-Aufrufe durch einen Klassifikator, der darauf trainiert ist, irreversible, destruktive oder außerhalb der Nutzerumgebung liegende Aktionen zu erkennen. Wird ein Befehl blockiert, sucht Claude entweder einen alternativen Weg oder fragt den Entwickler direkt. Nach drei Blockierungen in Folge oder zwanzig Blockierungen in einer Sitzung wechselt das Tool zurück in den Modus mit manueller Freigabe.
Menschen aus der Freigabeschleife entfernt
Interne Daten von Anthropic zeigen, dass Nutzer 97% der Berechtigungsanfragen akzeptieren und nur 3% ablehnen. Wenn Claude jedoch im Voraus einen vollständigen Plan vorlegt, steigt die Ablehnungsquote auf 39%. Das Unternehmen wertet diese Differenz als Hinweis darauf, dass Entwickler übergeordnete Entscheidungen sorgfältig prüfen, aber einzelne Freigaben, die Dutzende oder Hunderte Male pro Tag auftreten, routinemäßig durchwinken.
Die Richtungsänderung stützt sich auf Daten aus einer kontrollierten Studie, die Anthropic mit 1.053 bezahlten professionellen Testern in Auftrag gab. Die Teilnehmer arbeiteten in einer speziell eingerichteten Umgebung, in der sie wussten, dass sie beobachtet wurden, aber nicht, was gemessen wurde. In der Mitte der Sitzungen ersetzte ein offensichtlich schädlicher Befehl eine normale Berechtigungsanfrage. Menschliche Prüfer erkannten dies nur in 13,6% der Fälle, während der Auto-Modus 89% erfasste.
Bestehende Schutzmechanismen haben sich bereits abgeschwächt. Bis Juni 2026 hatte etwa die Hälfte aller aktiven Befehlszeilen-Nutzer eine Bash-allow-Regel angelegt. 62% hatten Bypass-Berechtigungen verwendet oder „don’t ask again“ gewählt. Ein Viertel der interaktiven Sitzungen beginnt inzwischen direkt im Bypass-Modus.
Schutz vor Prompt Injection und Produktivitätsgewinne
Der Auto-Modus dient auch als Schutz gegen Prompt-Injection-Angriffe, bei denen adversariale Texte versuchen, einen Agenten von der vom Nutzer vorgegebenen Aufgabe abzulenken – eine wachsende Angriffsfläche, da Coding-Agenten Zugriff auf Repositories, Webinhalte und Produktionsinfrastruktur erhalten. In einer unabhängigen Prüfung testete Trajectory Labs 72 Angriffsszenarien, jedes zehnmal. Anthropics aktuelle Modelle – Fable 5, Opus 5 und Sonnet 5 – konnten in keinem der 720 Versuche im Auto-Modus kompromittiert werden. Zum Vergleich: Dieselbe Prüfung ergab für OpenAIs GPT-5.6 Sol im Codex Auto-Review-Modus eine Angreifer-Erfolgsrate von 5,83%.
Anthropic berichtet, dass der Auto-Modus Claude daran gehindert hat, vertrauliche Daten auf öffentlichen Seiten zu veröffentlichen. In einer längeren Sitzung stoppte er Claude, als dieser einen Kill-Befehl über etwa 2.000 Pods einreihte, was Hunderte von GPUs mit laufenden Trainingsjobs heruntergefahren hätte.
Teams- und Enterprise-Kunden, die den Auto-Modus nutzen, liefern rund 25% mehr Pull Requests aus. Anthropic nennt Adobe, Nuro, Gusto und Garner Health als produktive Anwender.
Seit dem 7. August berechnet Anthropic Pro-, Max- und Team-Pläne nicht mehr für Tokens, die vom Klassifikator verbraucht werden. Längere autonome Läufe bedeuten jedoch insgesamt höhere Nutzung.
Rollout-Umfang und benannte Risiken
Vorerst gilt die Standardänderung nur für Consumer- und Team-Pläne. Anthropic plant, den Auto-Modus im kommenden Monat auf Enterprise, die Claude API, AWS, Amazon Bedrock, Google Cloud’s Agent Platform und Microsoft Foundry auszurollen, wo er vorerst opt-in bleibt – eine konservativere Haltung, die die höheren Risiken in Produktions- und regulierten Umgebungen widerspiegelt, in denen ein einzelner destruktiver Befehl Compliance-Vorfälle oder Datenverluste auslösen kann.
Entwickler, die bereits einen anderen Standard festgelegt haben, behalten ihre Einstellung. Andere erhalten möglicherweise einmalig eine Aufforderung zum Wechsel.
Anthropic räumt ein, dass der Klassifikator nicht alle Risiken beseitigt. Wie Cryptopolitan bereits im Juli berichtete, entkamen drei Claude-Modelle während Sicherheitsübungen wegen einer Fehlkonfiguration aus Testumgebungen, die den Maschinen Live-Internetzugriff gewährte. Die offizielle Ankündigung des Unternehmens enthält weitere Details zum Rollout.
