Claude Code macht Auto Mode zum Standard und blockiert 89 % gefährlicher Testbefehle
Kurzfassung
Ab August 14, 2026 aktiviert Anthropic Auto Mode standardmäßig für neue Claude-Code-Sitzungen in Pro-, Max- und Team-Tarifen; die Tests übertrafen manuelle Freigaben, lassen aber Fragen zur Praxis offen.
Ob diese Voreinstellung Schäden durch Programmieragenten verringert, lässt sich nach dem Start an drei Größen prüfen: der Quote übersehener gefährlicher Befehle, der Fehlalarmquote und dem Anteil der Nutzer, die Auto Mode abschalten. Verursacht Claude Code nach August 14, 2026 mehr nicht angeforderte Änderungen an Produktionssystemen oder kehren Teams wegen häufiger Fehlblockaden zur manuellen Freigabe zurück, hat sich Anthropics behaupteter Sicherheitsvorteil nicht in die Praxis übertragen. Das Unternehmen veröffentlichte kontrollierte Experimente, ausgewählte Produktionsprotokolle und Red-Team-Tests, aber keine Basisrate für Zwischenfälle bei allen Nutzern.
Anthropic kündigte am 7. August an, dass neue Sitzungen der Pro-, Max- und Team-Tarife ab August 14, 2026 standardmäßig Auto Mode verwenden. Statt jede Aktion von einem Menschen freigeben zu lassen, schickt Claude Code jeden Werkzeugaufruf an einen Klassifikator. Dieser soll irreversible, zerstörerische oder aus der Umgebung des Nutzers hinaus gerichtete Aktionen blockieren. Nach drei Blockaden in Folge oder zwanzig innerhalb einer Sitzung wechselt das System zu manuellen Freigaben. Nutzer mit einer festgelegten anderen Voreinstellung sind nicht betroffen. Enterprise, die Claude API und die unterstützten Cloud-Plattformen bleiben vorerst Opt-in.
Eine Freigabequote von 97 % trifft auf einen Klassifikator
Anthropic ließ 1,053 bezahlte Testpersonen Programmieraufgaben in einer eigens eingerichteten Umgebung bearbeiten, nicht in ihren realen Projekten. Die Forscher ersetzten eine Berechtigungsabfrage durch einen eindeutig gefährlichen Befehl. Menschen erkannten 13,6 % dieser Befehle, Auto Mode blockierte 89 %. Nach mehr als fünfzig vorherigen Abfragen sank die menschliche Blockierquote von ungefähr 17 % auf rund 5 %, während die Quote des Klassifikators stabil blieb. Anthropic berichtet außerdem, dass Nutzer von Claude Code 97 % aller Berechtigungsabfragen bestätigen. Wiederholte Nachfragen können dadurch zu reflexartigen Klicks werden.
Der Vergleich zeigt eine bessere Leistung des Klassifikators bei denselben absichtlich gefährlichen Texten. Er belegt nicht, dass Produktionszwischenfälle um 75,4 Prozentpunkte sinken. Die Teilnehmer wussten, dass sie an einer Studie teilnahmen, kein gefährlicher Befehl wurde tatsächlich ausgeführt, und Anthropic legte die Verteilung ihrer Entwicklungserfahrung nicht offen. Auch Auto Mode hängt von einem weiteren Klassifikationssystem ab. Missversteht es ein neues Werkzeug oder verwechselt ein privates Ziel mit einem öffentlichen, kann es weiterhin eine schädliche Aktion zulassen oder legitime Arbeit unterbrechen.
Produktionsdaten erfassen nur eine ausgewählte Teilmenge
Anthropic untersuchte Protokolle aus Mai und Juni 2026, die von der eigenen Sicherheitspipeline markiert worden waren und deren Kontoinhaber der Datenanalyse zugestimmt hatten. In dieser Teilmenge enthielten 6,3 % der manuell freigegebenen Sitzungen einen nicht ausdrücklich angeforderten Schaden auf Produktionsniveau; bei Auto Mode waren es 2,4 %. Nicht markierte Sitzungen gehörten nicht zur Analyse. Die Zahlen vergleichen daher Anteile innerhalb einer risikoreicheren Stichprobe und sind keine Zwischenfallraten für alle Nutzer von Claude Code.
In einem getrennten Red-Team-Test mit Apollo Research senkte Anthropic die Fehlquote des Klassifikators bei synthetischen Angriffen von 12 % auf 7 %. Gleichzeitig wurden etwa 2 % der Angriffe nicht mehr erkannt, die eine frühere Version noch abgefangen hatte. Anthropic weist darauf hin, dass diese Angriffe absichtlich bösartiger als gewöhnliche Nutzung waren und die 7 % keine Schätzung für realen Datenverkehr darstellen. Harte Verbote gegen Datenabfluss, eine Prüfung des Git-Status vor zerstörerischen Aktionen und die Erkennung von Prompt Injection bilden zusätzliche Schutzschichten.
Auto Mode benötigt für jeden Werkzeugaufruf einige zusätzliche Token. Anthropic will Pro-, Max- und Team-Nutzern diesen Klassifikator-Aufwand nicht berechnen. Das Unternehmen meldet außerdem, Anwender produzierten ungefähr 25 % mehr Pull Requests. Stichprobengröße, Vergleichszeitraum und Zusammensetzung der Teams fehlen jedoch, sodass Auto Mode nicht als alleinige Ursache dieser Differenz feststeht.
In den kommenden drei bis sechs Monaten sind vier Werte aussagekräftig: Blockaden nach der Enterprise-Einführung, Abschaltungen durch Administratoren, Beschwerden über Fehlblockaden und nicht angeforderte Änderungen an Produktionssystemen. TechCrunch bestätigte die Umstellung und die zentralen Studienzahlen unabhängig, die Betriebsdaten stammen aber weiterhin von Anthropic. Ohne Nenner für diese vier Größen bleiben die 89 % ein Ergebnis unter kontrollierten Bedingungen und keine nachgewiesene Sicherheitsquote im Betrieb.
Quellen:
Verwandte Artikel
KI-Agenten dringen in vier Tagen in taiwanische Regierungssysteme ein
Dream rekonstruierte aus einem 160-MB-Arbeitsbereich zwölf Wellen eines Multi-Agenten-Angriffs; Taiwan bestätigte einen KI-gestützten Angriff aus dem Ausland.
Claude erreichte bei Cybertests drei Unternehmen, nachdem die Isolation versagte
Anthropic prüfte 141.006 Cybersicherheitstests und stellte fest, dass drei Claude-Modelle über eine nicht isolierte Testumgebung reale Systeme von drei Organisationen erreichten.