Anthropic ist damit fertig, Claude-Code-Nutzer alle paar Minuten auf „Zustimmen“ klicken zu lassen. Ab dem 14. August 2026 wird der Claude-Code-Automatikmodus zur Standardeinstellung für neue Sitzungen in den Pro-, Max- und Team-Tarifen und ersetzt den ständigen Strom von Berechtigungsabfragen, der lange Zeit definiert hat, wie Entwickler mit AI-Coding-Agents interagieren. Das Unternehmen sagt, es habe die Daten, um die Umstellung zu untermauern, aber unabhängige Kommentare – unter anderem von Entwickler und Forscher Simon Willison – deuten darauf hin, dass die Geschichte nuancierter ist als ein einfacher Sicherheitsgewinn.
Summary
Wichtigste Erkenntnisse
- Anthropic macht den Automatikmodus ab dem 14. August 2026 zur Standardeinstellung für die Claude-Code-Pro-, Max- und Team-Tarife.
- In einem Test mit 1.053 zahlenden Nutzern blockierte der Automatikmodus 89 % der gefährlichen Befehle, während menschliche Tester nur in 13,6 % der Fälle ablehnten.
- Der unabhängige Prüfer Trajectory Labs führte 720 indirekte Prompt-Injection-Angriffe gegen Claude Fable 5, Opus 5 und Sonnet 5 im Automatikmodus durch – keiner war erfolgreich.
- Anthropic wird nicht mehr für die zusätzlichen Tokens berechnen, die der Klassifikator des Automatikmodus pro Tool-Aufruf verbraucht.
- Analysten weisen weiterhin auf ungelöste Risiken hin, darunter bösartige Drittanbieter-Pakete, die unbemerkt Daten exfiltrieren könnten.
Anthropic macht den Claude-Code-Automatikmodus zur Standardeinstellung
Die Umstellung beantwortet ein Problem, über das Anthropic-Ingenieure offen gesprochen haben: Bestätigungs-Müdigkeit. Einen Menschen zu bitten, jeden Schritt des Workflows eines AI-Agents zu genehmigen, klingt vorsichtig, trainiert die Leute in der Praxis aber dazu, sich durch Eingabeaufforderungen zu klicken, ohne sie wirklich zu lesen. Laut Anthropic ersetzt der Automatikmodus diese wiederholte Genehmigungsschleife durch einen Klassifikator, der jeden Tool-Aufruf auf Aktionen prüft, die irreversibel, destruktiv oder eindeutig außerhalb des zulässigen Rahmens liegen. Wenn der Klassifikator etwas markiert, sucht Claude entweder nach einem sichereren Weg oder greift wieder auf eine Genehmigungsanfrage zurück – und wenn sich die Blockierungen häufen, fällt die gesamte Sitzung auf die manuelle Genehmigung zurück.
Der Rollout betrifft Pro-, Max- und Team-Tarife, sofern ein Nutzer oder Administrator nicht manuell eine andere Berechtigungseinstellung festgelegt hat. Anthropic beseitigt außerdem einen kleinen finanziellen Reibungspunkt: Laut dem eigenen Blogbeitrag des Unternehmens zu dieser Änderung werden die zusätzlichen Tokens, die der Klassifikator bei jedem Tool-Aufruf verbraucht, nicht mehr in Rechnung gestellt.
Warum ist das über den Komfort hinaus wichtig? Anthropic sagt, der Automatikmodus verändere bereits die Arbeitsweise von Teams – Team- und Enterprise-Kunden, die ihn nutzen, liefern demnach etwa 25 % mehr Pull Requests aus als diejenigen, die sich auf manuelle Genehmigungen verlassen. Das ist ein aussagekräftiges Produktivitätssignal, erhöht aber auch den Einsatz: Mehr autonome Coding-Aktivität bedeutet mehr Gelegenheiten, bei denen etwas schiefgehen kann, wenn die darunterliegende Sicherheitsschicht nicht solide ist.
Blockiert der Automatikmodus tatsächlich mehr gefährliche Befehle als Menschen?
Ja, laut Anthropics eigenen Tests – mit deutlichem Abstand. Das Unternehmen führte eine Studie mit 1.053 zahlenden Testern durch, in der mitten in einer normalen Sitzung eine routinemäßige Berechtigungsabfrage heimlich durch einen eindeutig gefährlichen Befehl ersetzt wurde. Jeder Tester sah das identische Szenario. Das Ergebnis: Nur 13,6 % der Menschen lehnten die schädliche Aktion ab. Der Automatikmodus, getestet mit demselben Befehl, blockierte ihn in 89 % der Fälle.
Die Lücke wird größer, je länger eine Sitzung dauert. Anthropic berichtete, dass die menschliche Wachsamkeit nach 50 Eingabeaufforderungen auf etwa 5 % sank – eine Zahl, die genau illustriert, warum das Unternehmen Bestätigungs-Müdigkeit als ein echtes Sicherheitsrisiko und nicht nur als abstrakte Sorge einstuft. Menschen werden müde, abgelenkt oder selbstzufrieden. Ein Klassifikator tut das zumindest theoretisch nicht.
Dennoch schneidet die Mathematik in beide Richtungen. Diese Blockierquote von 89 % lässt 11 % der gefährlichen Befehle durch die Prüfungen des Automatikmodus schlüpfen – eine Lücke, die Anthropic selbst einräumt. Das Unternehmen empfiehlt weiterhin eine menschliche Überprüfung für Änderungen, die produktive Systeme betreffen, was darauf hindeutet, dass selbst Anthropic den Automatikmodus noch nicht als vollständigen Ersatz für menschliches Urteilsvermögen ansieht.
Prompt Injection: der größere Test für die Sicherheit von AI-Coding-Agents
Das Blockieren eines offensichtlich gefährlichen Befehls ist das eine. Einen Angriff zu stoppen, der in Inhalten versteckt ist, die der Agent von anderswo liest, ist ein völlig anderes Problem – und genau das bereitet Sicherheitsforschern die größten Sorgen. Prompt Injection – das Einschleusen bösartiger Anweisungen in Text, Code oder Dateien, die ein AI-Agent später konsumiert – wurde wiederholt als zentrale Schwachstelle in der Sicherheit von AI-Coding-Agents hervorgehoben, und Simon Willison hat bereits zuvor prognostiziert, dass 2026 einen ernsthaften Sicherheitsvorfall mit genau dieser Art von Verwundbarkeit bringen könnte.
Anthropics Antwort war, eine externe Überprüfung in Auftrag zu geben. Das Unternehmen beauftragte Trajectory Labs mit einer unabhängigen Bewertung der neuesten öffentlich verfügbaren Versionen von Claude Code und Codex mit Stand 17. Juli 2026. Trajectory Labs entwarf 72 indirekte Prompt-Injection-Szenarien, die aus Anthropics eigenem Training und Testing herausgehalten worden waren, und führte dann jedes Szenario zehnmal aus – insgesamt 720 Angriffsversuche. Laut den von Anthropic veröffentlichten Ergebnissen war keiner der 720 Versuche gegen Claude Fable 5, Opus 5 oder Sonnet 5 im Automatikmodus erfolgreich.
Das ist ein bemerkenswertes Ergebnis und die Schlagzeile, die Anthropic im Gedächtnis der Leute verankern möchte. Thariq Shihipar, einer der Anthropic-Vertreter, die die Arbeit kürzlich bei einem Fireside Chat diskutierten, witzelte in sozialen Medien, der Bericht hätte „die tödliche Trifecta besiegen“ heißen können – ein Verweis auf die Kombination aus nicht vertrauenswürdigen Eingaben, sensiblen Daten und Agenten-Autonomie, die Sicherheitsforscher als das gefährlichste Setup für AI-Systeme ansehen. Cat Wu, eine weitere Anthropic-Vertreterin, die an dieser Diskussion teilnahm, sagte, das Unternehmen habe „so ziemlich jeden Angriff entschärft“, den es getestet habe.
Willison bleibt seinerseits vorsichtig skeptisch statt überzeugt. Er merkt an, dass eine Null-Erfolgsquote bei 720 kuratierten Angriffsversuchen ermutigend ist, aber nicht dasselbe wie ein Beweis gegen jeden Angriffsvektor, den ein realer Gegner ausprobieren könnte. Ein Szenario, das er ausdrücklich anspricht: ein bösartiges Drittanbieter-Softwarepaket, das einen Coding-Agenten anweist, zusätzliche Dateien abzurufen und auszuführen, bevor legitime Befehle ausgeführt werden – Dateien, die dabei unauffällig Daten exfiltrieren könnten. Es ist unklar, ob irgendeine Version des Claude-Code-Automatikmodus diese Art von indirektem Supply-Chain-Angriff erkennen würde, da die bösartige Anweisung nicht unbedingt wie ein gefährlicher Befehl aussehen würde, so wie der Klassifikator ihn zu erkennen versucht.
Was noch ungelöst ist
Unter der gesamten Diskussion liegen zwei unterschiedliche Sicherheitsprobleme, und der Automatikmodus löst nicht unbedingt beide gleichermaßen gut. Das erste ist unbeabsichtigter Schaden – ein Agent, der die falschen Dateien löscht oder eine Produktionsdatenbank löscht, einfach weil er eine Anweisung missverstanden hat. Das zweite, und das, was Sicherheitsforscher stärker beschäftigt, ist gezielte Prompt Injection, bei der ein Angreifer Inhalte, denen der Agent vertraut, zur Waffe macht.
Willisons eigenes Fazit tendiert eher zu einer strukturellen Lösung, als sich auf eine einzelne Sicherheitsschicht zu verlassen, egal wie gut sie in Tests abschneidet. Anstatt sich vollständig auf in das Modell oder den Klassifikator integrierte Anthropic-AI-Sicherheits-Mechanismen zu verlassen, sagt er, er sei nun stärker motiviert, Agenten-Workflows so zu entwerfen, dass AI-Systeme gar keinen Zugriff auf Daten oder Tools erhalten, die Schaden anrichten könnten, wenn sie falsch ausgelöst werden. Das ist eine deutlich andere Haltung als „dem Klassifikator vertrauen“ – sie behandelt den Automatikmodus als eine Verteidigungsschicht unter mehreren, nicht als fertige Lösung.
Es ist ebenfalls erwähnenswert, dass Anthropic nicht das einzige große AI-Labor ist, das mit diesem Trade-off ringt. OpenAI hat Berichten zufolge darauf verzichtet, einen vergleichbaren Automatikmodus standardmäßig für sein leistungsfähigstes GPT-5.6-Modell zu aktivieren, und sich stattdessen für einen konservativeren, genehmigungsbasierten Ansatz entschieden – ein Zeichen dafür, dass selbst innerhalb der Branche noch kein Konsens darüber besteht, wie viel Autonomie man einem AI-Coding-Agenten standardmäßig sicher überlassen kann.
FAQ
Was ist der Automatikmodus von Anthropic in Claude Code?
Der Automatikmodus ist eine Einstellung, die wiederholte menschliche Genehmigungsabfragen durch einen Klassifikator ersetzt, der darauf ausgelegt ist, irreversible oder gefährliche Tool-Aufrufe automatisch zu blockieren und nur dann auf manuelle Genehmigung zurückzufallen, wenn Blockierungen sich wiederholen oder eine wirklich mehrdeutige Aktion auftritt.
Wie effektiv ist der Automatikmodus beim Blockieren gefährlicher Befehle im Vergleich zu Menschen?
In Tests mit 1.053 zahlenden Nutzern blockierte der Automatikmodus 89 % der gefährlichen Befehle, während nur 13,6 % der menschlichen Tester dieselbe schädliche Aktion ablehnten – und die menschliche Wachsamkeit sank Berichten zufolge nach 50 Eingabeaufforderungen in einer Sitzung weiter auf etwa 5 %.
Verhindert der Automatikmodus Prompt-Injection-Angriffe vollständig?
Unabhängige Tests von Trajectory Labs ergaben keine erfolgreichen Prompt-Injection-Angriffe unter 720 Versuchen gegen Claude Fable 5, Opus 5 und Sonnet 5 im Automatikmodus. Dennoch könnten Risiken wie bösartige Drittanbieter-Pakete, die Daten exfiltrieren, vom aktuellen System nicht vollständig abgedeckt sein.
Welche Sicherheitsrisiken bestehen trotz Automatikmodus weiterhin bei AI-Coding-Agents?
Agents können weiterhin versehentlich schädliche Aktionen ausführen, und ausgefeilte Angriffe – insbesondere solche, die über bösartige Drittanbieter-Codepakete laufen – werden laut Analyse der von Anthropic veröffentlichten Ergebnisse möglicherweise nicht zuverlässig vom Klassifikator des Automatikmodus erkannt.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was ist der Automatikmodus von Anthropic in Claude Code?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Der Automatikmodus ist eine Einstellung, die wiederholte menschliche Genehmigungsabfragen durch einen Klassifikator ersetzt, der darauf ausgelegt ist, irreversible oder gefährliche Tool-Aufrufe automatisch zu blockieren und nur dann auf manuelle Genehmigung zurückzufallen, wenn Blockierungen sich wiederholen oder eine wirklich mehrdeutige Aktion auftritt.“}},{„@type“:“Question“,“name“:“Wie effektiv ist der Automatikmodus beim Blockieren gefährlicher Befehle im Vergleich zu Menschen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“In Tests mit 1.053 zahlenden Nutzern blockierte der Automatikmodus 89 % der gefährlichen Befehle, während nur 13,6 % der menschlichen Tester dieselbe schädliche Aktion ablehnten – und die menschliche Wachsamkeit sank Berichten zufolge nach 50 Eingabeaufforderungen in einer Sitzung weiter auf etwa 5 %.“}},{„@type“:“Question“,“name“:“Verhindert der Automatikmodus Prompt-Injection-Angriffe vollständig?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Unabhängige Tests von Trajectory Labs ergaben keine erfolgreichen Prompt-Injection-Angriffe unter 720 Versuchen gegen Claude Fable 5, Opus 5 und Sonnet 5 im Automatikmodus. Dennoch könnten Risiken wie bösartige Drittanbieter-Pakete, die Daten exfiltrieren, vom aktuellen System nicht vollständig abgedeckt sein.“}},{„@type“:“Question“,“name“:“Welche Sicherheitsrisiken bestehen trotz Automatikmodus weiterhin bei AI-Coding-Agents?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Agents können weiterhin versehentlich schädliche Aktionen ausführen, und ausgefeilte Angriffe – insbesondere solche, die über bösartige Drittanbieter-Codepakete laufen – werden laut Analyse der von Anthropic veröffentlichten Ergebnisse möglicherweise nicht zuverlässig vom Klassifikator des Automatikmodus erkannt.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
