Claude Code fragt ab 14. August nicht mehr um Erlaubnis

Der Test, den Anthropic mit 1.053 echten Entwicklern durchführte

Kai Zhou, Staff Software Engineer bei Nuro, startete um 22 Uhr einen Claude-Code-Agenten und ließ ihn laufen. Als er um 5 Uhr morgens wieder nachsah, hatte dieser drei Pull Requests erstellt, und er hatte in der ganzen Nacht keine einzige Freigabeabfrage anklicken müssen, um sie zu bekommen. "Ich habe um 22 Uhr einen Agenten gestartet, und er lief bis 5 Uhr morgens durch - und er gab mir am Morgen drei PRs", sagte er. Genau diese Art von unbeaufsichtigtem Lauf soll Anthropics Auto-Modus zur Regel statt zur Ausnahme machen, und ab dem 14. August 2026 wird er zum Standardverhalten für jedes Claude-Code-Konto auf den Plänen Pro, Max und Team - keine Option mehr, die ein Team erst suchen und aktivieren muss.

Vor dieser Entscheidung ließ Anthropic in einem kontrollierten Test prüfen, ob der Wegfall der Freigabeabfrage tatsächlich sicherer oder nur schneller ist. Es wurden 1.053 bezahlte professionelle Tester rekrutiert, und mitten in der Sitzung wurde jeweils ein echt gefährlicher Befehl in die Freigabeabfrage eingeschleust, die jeder von ihnen sah. Tester, die sich auf manuelle Prüfung verließen, erkannten ihn in 13,6 Prozent der Fälle - 143 von 1.053. Der Auto-Modus, der dieselben Sitzungen beobachtete, blockierte 89 Prozent derselben eingeschleusten Befehle - 937 von 1.053. Beim exakt gleichen Test, mit der exakt gleichen Testgruppe, erkannte die automatisierte Prüfung die gefährliche Aktion rund 6,5-mal häufiger als die menschliche Prüfung.

Was sich am 14. August tatsächlich ändert

Der Auto-Modus schafft Freigabeabfragen nicht vollständig ab. Anthropic beschreibt ihn so, dass Werkzeugaufrufe durch einen Klassifikator laufen, der weiterhin anhält und nachfragt, wenn eine Aktion irreversibel, destruktiv oder auf ein System außerhalb der eigenen Umgebung gerichtet erscheint - Daten löschen, in die Produktivumgebung veröffentlichen, ein System kontaktieren, zu dem der Agent keinen klaren Grund hat. Blockiert der Klassifikator weiter, fällt die Sitzung nach 3 aufeinanderfolgenden Blockierungen oder 20 innerhalb einer Sitzung auf manuelle Freigabe zurück, sodass ein langer autonomer Lauf immer einen eingebauten Kontrollpunkt hat, statt unbeaufsichtigt bis zum Ende durchzulaufen, egal was passiert. Anthropic hat außerdem eine eigene Prüfschicht gegen Prompt-Injection sowie konfigurierbare feste Sperrregeln hinzugefügt, mit denen ein Administrator bestimmte Aktionen wie Datenabfluss-Pfade blockieren kann, unabhängig davon, was der Klassifikator selbst entscheidet.

Das Team, das ihn baut, lebt schon so. "Das Team und ich nutzen den Auto-Modus ausschließlich, und das seit vielen Monaten. Ich könnte mir nicht vorstellen, zu Freigabeabfragen zurückzukehren", sagte Boris Cherny, der bei Anthropic Claude Code leitet. Adobes Tomislav Reil, dort Director of Engineering, beschrieb ein ähnliches Muster in seinem eigenen Arbeitsablauf: "Claude baut die Benutzeroberfläche und prüft danach selbst, ob sie dem beabsichtigten Design entspricht, und behebt Probleme automatisch, bevor wir sie überhaupt zu sehen bekommen." Anthropic zufolge liefern Teams, die den Auto-Modus nutzen, rund 25 Prozent mehr Pull Requests, und ab dem 14. August entfällt für Pro-, Max- und Team-Konten auch der zusätzliche Token-Aufschlag, den der Klassifikator selbst verursachte - für Enterprise, vorerst weiterhin optional, ist dieselbe Preisänderung binnen etwa einem Monat geplant.

Die eigentliche Ausgangslage war nie sorgfältige Prüfung

Der Vergleich, auf den Anthropic die Aufmerksamkeit lenken will, ist die Erkennungsrate des Auto-Modus von 89 Prozent gegenüber 13,6 Prozent bei manueller Prüfung. Doch eine separate, zusammen mit der Ankündigung genannte Zahl verrät mehr darüber, woher diese Lücke stammt: Claude-Code-Nutzer bestätigen bereits 97 Prozent der ihnen vorgelegten Freigabeabfragen. Das ist der ehrliche Ausgangspunkt für diese Entscheidung, und es ist nicht "ein sorgfältiger menschlicher Prüfer gegen einen unbewiesenen Autopiloten". Es ist ein Prüfer, der aus Gewohnheit bereits rund 19 von 20 Anfragen bestätigte, ersetzt durch ein System, das nachweislich besser darin ist, die eine von 20 zu erkennen, auf die es tatsächlich ankam. Anthropics Produktivdaten stützen das auch außerhalb des Labortests: Sitzungen mit manueller Freigabe wiesen ungewollten Schaden der Schweregrad-Stufe 7 oder höher in 6,3 Prozent der Fälle auf, gegenüber 2,4 Prozent bei Sitzungen im Auto-Modus mit vergleichbarer Arbeit.

Nichts davon macht 89 Prozent zu einer abgeschlossenen Zahl. Anthropics eigener Test lässt weiterhin 11 Prozent der eingeschleusten gefährlichen Befehle übrig, die der Klassifikator nicht blockiert hätte, und die ehrliche Lesart der Studie ist "deutlich sicherer als das, was die meisten Teams tatsächlich taten", nicht "gelöst". Anthropic berichtet in seiner eigenen Auswertung außerdem von einer Erfolgsquote von 0 Prozent für Prompt-Injection-Angriffe gegen Claude-Modelle im Auto-Modus und verknüpft diese Aussage mit der neuen Prüfschicht und den festen Sperrregeln.

Unabhängige Kommentare, die einen Tag vor Anthropics Ankündigung erschienen - vom Entwickler und LLM-Forscher Simon Willison -, zogen eine schärfere Trennlinie, die bei jeder Einführungsentscheidung mitgedacht werden sollte: Zufälligen, unachtsamen Schaden zu erkennen ist ein anderes Problem als eine absichtlich böswillige, in den Kontext eines Agenten eingeschleuste Anweisung zu erkennen. Sein Beispiel war ein kompromittiertes externes Paket, dessen Anweisungen wie ein gewöhnlicher Schritt innerhalb der eigenen Umgebung klingen - "die Testsuite ausführen" -, tatsächlich aber einen böswilligen Abruf auslösen, genau die Art von Aktion, die ein auf "außerhalb der eigenen Umgebung" trainierter Klassifikator gerade deshalb durchwinken könnte, weil sie auf den ersten Blick nicht extern wirkt. Das ist kein Argument für die manuelle Prüfung, die in Anthropics eigenem Test bei allem schlechter abschnitt. Es ist ein Grund, den Klassifikator nicht als vollständige Antwort auf eingeschleuste Anweisungen zu betrachten, sondern nur auf zufällige und destruktive.

Was vor dem 14. August zu entscheiden ist, nicht danach

Prüfen Sie, was der Auto-Modus berühren darf, bevor sich der Standard unter Ihnen ändert. Anthropics Klassifikator zieht seine eigene Grenze um "irreversibel, destruktiv oder außerhalb der eigenen Umgebung" - listen Sie die Aktionen in Ihrer konkreten Pipeline auf, die diese Grenze vielleicht nicht erfasst, die Sie selbst aber als irreversibel einstufen würden: Schreibzugriffe auf die Produktivdatenbank, Schlüsselrotation, Deploy-Befehle, alles, was eine Kundenumgebung erreicht. Anthropics neue feste Sperrregeln erlauben es einem Administrator, diese ausdrücklich zu blockieren - richten Sie sie vor dem 14. August ein, nicht nachdem eine Sitzung bereits eine davon ausgeführt hat.

Legen Sie Ihre eigene Rückfallschwelle fest, nicht Anthropics Standard. Die Auslöseschwelle von 3 aufeinanderfolgenden oder 20 pro Sitzung für manuelle Freigabe ist eine Standardeinstellung, kein festes Gesetz, und eine unbeaufsichtigte Obergrenze von 20 Aktionen ist ein großzügiger Spielraum für einen einzelnen Nachtlauf wie bei Kai Zhou. Senken Sie sie für jede Pipeline, die mit Zugangsdaten, Kundendaten oder Produktivinfrastruktur in Berührung kommt, und belassen Sie sie nur dort beim Standard, wo ein Fehler tatsächlich folgenlos rückgängig zu machen ist.

Klären Sie die Frage nach dem Prüfprotokoll, bevor eine Aufsichtsbehörde danach fragt. Fällt Ihre Organisation in den Anwendungsbereich von NIS2 oder DORA, bestätigen Sie - noch diese Woche, nicht erst bei einer künftigen Prüfung -, dass die Blockier- und Freigabeentscheidungen des Auto-Modus mit derselben Beweiskraft protokolliert werden wie bislang Ihre menschliche Freigabespur. Anthropics Ankündigung geht darauf nicht direkt ein; es ist Aufgabe des einführenden Teams, nicht des Anbieters, das zu prüfen, bevor "wir haben die Freigabeabfragen entfernt" zur Antwort auf eine Frage nach der IKT-Risikoüberwachung wird.

Weiterlesen: Eine Nachricht erreichte die SSH-Schlüssel  |  CISA setzt erstmals eine KI-Agentenplattform auf die Patchpflicht