Claude Code läuft ab 14. August standardmäßig im Auto-Modus
Anthropic macht den Auto-Modus in Claude Code zum Standard. In einer Studie fingen Menschen 13,6 Prozent der gefährlichen Befehle ab, der Klassifikator 89.
Anthropic stellt sein Programmierwerkzeug Claude Code um: Ab dem 14. August 2026 ist der Auto-Modus in den Tarifen Pro, Max und Team die Voreinstellung. Das Werkzeug arbeitet dann längere Strecken selbstständig, statt vor jedem Schritt eine Freigabe einzuholen. Ein Klassifikator prüft im Hintergrund jeden Werkzeugaufruf darauf, ob eine Aktion gefährlich oder nicht umkehrbar ist, und fragt nur in diesen Fällen nach. Angekündigt hat Anthropic den Schritt in einem Blogbeitrag.
Die Zahlen hinter der Umstellung
Grundlage ist eine kontrollierte Studie mit 1.053 bezahlten Testpersonen, ergänzt um internes Red-Teaming. Dort erkannten menschliche Prüfer 13,6 Prozent der gefährlichen Befehle, der Auto-Modus 89 Prozent. Im direkten Vergleich blockierte der Klassifikator rund 800 Befehle, die Menschen zuvor durchgewinkt hatten. Umgekehrt hielten Menschen nur sechs Befehle auf, die der Auto-Modus passieren ließ.
Auffällig ist weniger die Trefferquote der Software als der Wert auf der anderen Seite. Wer bei jedem Schritt bestätigen muss, bestätigt irgendwann reflexhaft. Abgeschafft wird mit der Umstellung also vor allem der Klickreflex, der von der manuellen Prüfung übrig geblieben war.
Zur Produktivität nennt Anthropic einen zweiten Wert: Teams, die im Auto-Modus arbeiten, erzeugen rund 25 Prozent mehr Pull-Requests. Die Token, die der Klassifikator selbst für seine Prüfungen verbraucht, rechnet Anthropic in den betroffenen Tarifen nicht mehr ab.
Prompt Injection und die Grenzen des Klassifikators
Der Auto-Modus soll auch gegen indirekte Prompt-Injection-Angriffe helfen, bei denen eingeschleuster Text den Agenten von den Anweisungen des Nutzers weglenkt. Der unabhängige Prüfer Trajectory Labs fuhr 720 solcher Angriffe gegen Claude-Modelle im Auto-Modus, keiner davon war erfolgreich. Ein Vergleichsmodell ließ in derselben Testumgebung 5,83 Prozent der Angriffe durch.
Anthropic selbst schränkt die Zahlen ein und rät bei produktionskritischer Infrastruktur weiterhin zur manuellen Kontrolle.
Der Klassifikator beseitigt Risiken nicht, er verringert sie. Elf Prozent der gefährlichen Aktionen kommen weiterhin durch.
Hinzu kommt ein Unterschied in der Art des Schutzes: Ein zweites Modell entscheidet nach Einschätzung, eine Berechtigung nach Regel. Wer bisher bestimmte Befehle technisch gesperrt hatte, sollte diese Sperren nicht durch Vertrauen in den Klassifikator ersetzen.
Was sich an den Freigaben ändert
Mit den jüngsten Versionen hat Anthropic auch die Voreinstellungen für Git verschoben. Pushes sind inzwischen auf jeden Branch des Arbeits-Repositorys erlaubt, den Standard-Branch eingeschlossen. Branches, deren Name auf ein Veröffentlichungsziel hindeutet, etwa production, release oder gh-pages, bewertet der Klassifikator weiterhin einzeln. Ein Force-Push oder ein Geheimnis im Commit bleibt gesperrt.
Was das für Ihr Unternehmen heißt
- Prüfen Sie vor dem 14. August, welche Tarife in Ihrem Team betroffen sind. Die Umstellung erfolgt ohne Zutun der Nutzer.
- Schreiben Sie Deny-Regeln für alles, was der Agent nie anfassen soll: Zugangsdaten, Produktivsysteme, Deployment-Pfade. Regeln greifen unabhängig von der Einschätzung eines Modells.
- Trennen Sie Entwicklungs- und Produktivumgebung sauber, bevor Sie längere autonome Läufe zulassen.
- Legen Sie fest, wer den Output eines Agenten abnimmt. Die Verantwortung für eine Änderung wandert nicht mit der Automatisierung mit.
- Rechnen Sie mit steigendem Tokenverbrauch, wenn Claude länger am Stück arbeitet. Die eingesparten Prüf-Token gleichen das nicht aus.
