Ab 14. August entfällt die Rückfrage
Anthropic stellt den Auto-Modus von Claude Code ab dem 14. August 2026 als Standardeinstellung für neue Sitzungen ein. Betroffen sind die Abos Pro, Max und Team. Eine Testversion des Modus hatte das Unternehmen erstmals im März 2026 gezeigt.
Im Auto-Modus arbeitet der Coding-Agent seine Schritte ohne einzelne Bestätigungsdialoge ab. Eine Rückfrage erfolgt nur noch, wenn eine Aktion als irreversibel, destruktiv oder als Eingriff außerhalb der eigenen Umgebung eingestuft wird. Alles andere läuft durch.
Die Begründung ist bemerkenswert: Nicht Geschwindigkeit, sondern Sicherheit soll das Hauptargument sein. Anthropic hält die eigene Automatik für den zuverlässigeren Prüfer als den Menschen davor.
97 % aller Rückfragen werden durchgeklickt
Das Unternehmen stützt sich auf eine Studie mit 1.053 zahlenden Testern. Mitten in der Sitzung wurde jeweils eine normale Berechtigungsabfrage gegen einen offensichtlich gefährlichen Befehl ausgetauscht. Anschließend wurde protokolliert, wer zustimmt.
| Prüfinstanz | Blockierte schädliche Aktionen |
|---|---|
| Auto-Modus von Claude Code | 89 % |
| Menschliche Prüfer | 13,6 % |
Der Grund für das schwache Abschneiden der Menschen liegt auf der Hand. Laut Anthropic genehmigen Nutzer 97 % aller Berechtigungsabfragen in Claude Code. Wer alle paar Schritte auf "OK" klickt, liest irgendwann nicht mehr mit. Dieses Muster ist als Bestätigungsmüdigkeit bekannt und deckt sich mit Befunden, wonach Freigaben durch Menschen ein Drittel der Gefahren übersehen.
"Das Team und ich nutzen den Auto-Modus ausschließlich, und das schon seit vielen Monaten. Ich könnte mir nicht mehr vorstellen, zu Berechtigungsaufforderungen zurückzukehren." Boris Cherny, Head of Claude Code, sinngemäß übersetzt
Prompt Injection: 720 Angriffe, keiner erfolgreich
Neben versehentlichen Schäden wie gelöschten Dateien geht es um das größere Problem: Prompt Injection. Dabei schmuggelt ein Angreifer Anweisungen in Inhalte, die der Agent nebenbei verarbeitet, etwa in eine Webseite, ein Issue oder eine Datei. Der Agent hält diese Anweisungen dann für legitime Aufträge.
Anthropic hat dafür ein Screening auf Prompt Injections eingebaut sowie konfigurierbare harte Sperrregeln, die den Abfluss von Daten verhindern sollen. Eine beauftragte Prüfung durch den Drittanbieter Trajectory Labs testete 72 indirekte Injection-Szenarien gegen die zum 17. Juli 2026 aktuellen Versionen. Ergebnis: Von 720 Angriffsversuchen gegen Claude Fable 5, Opus 5 und Sonnet 5 im Auto-Modus war keiner erfolgreich.
"Für die Hauptkategorien von Risiken, die uns Sorgen machen, wie Prompt Injection und Datenabfluss, sind die Risiken weitaus geringer als bei einem durchschnittlichen menschlichen Prüfer." Cat Wu, Anthropic, sinngemäß übersetzt
Ein Mitarbeiter des Unternehmens formulierte es zugespitzt: Der Beitrag hätte eigentlich "Besiegung der tödlichen Dreifaltigkeit" heißen müssen. Gemeint ist die riskante Kombination aus Zugriff auf sensible Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und der Möglichkeit, Daten nach außen zu senden.
Die verbleibenden 11 Prozent
Sicherheitsforscher lesen dieselben Zahlen anders. Blockierte 89 % bedeutet auch, dass 11 % der schädlichen Aktionen durchkamen. Warum das so ist, hat Anthropic nicht im Detail erklärt.
Als offene Flanke gilt zudem die Lieferkette. Ein manipuliertes Paket eines Drittanbieters könnte in seiner Dokumentation anweisen, vor dem Testlauf ein weiteres Werkzeug nachzuladen, das anschließend erreichbare Daten abzieht. Gegen dieses Muster ist unklar, wie ein Filter im Agenten überhaupt greifen soll. Dass KI-Agenten in dieser Richtung real gefährlich werden, hat sich bereits gezeigt, als KI-Agenten Open-Source-Projekte auf GitHub attackierten.
Die naheliegende Konsequenz ist deshalb nicht mehr Vertrauen in die Filter, sondern weniger Angriffsfläche: Agenten so betreiben, dass sie gar keinen Zugriff auf Daten und Werkzeuge haben, mit denen sie Schaden anrichten können. Praktisch heißt das abgeschottete Laufzeitumgebungen, getrennte Zugangsdaten und harte Netzgrenzen.
Was das für Unternehmen bedeutet
Einen ausdrücklichen Bezug zum DACH-Raum gibt es nicht, die Folgen sind aber konkret. Ab dem 14. August läuft in betroffenen Abos ein Agent standardmäßig ohne Einzelfreigabe auf lokalen Entwicklungsrechnern und in Repositories. Wer interne Sicherheitsrichtlinien für automatisierte Skriptausführung hat, sollte diese Umstellung vorher prüfen. Ob Team-Kunden die Standardaktivierung zentral administrativ abschalten können, hat Anthropic bislang nicht mitgeteilt.
Wirtschaftlich verschiebt sich damit ein weiteres Stück Kontrolle zum Anbieter. Der Effizienzgewinn ist real, weil die ständigen Bestätigungen wegfallen. Bezahlt wird er mit Vertrauen in Filter, die von außen nicht einsehbar sind, und mit einer Abhängigkeit von Anthropic, die auch bei eigenen Coding-Agenten bleibt. Für Teams, die diese Abhängigkeit begrenzen wollen, bleiben Werkzeuge wie Goose als Open-Source-Alternative zu Claude Code eine Option, allerdings ohne die von Anthropic beworbenen Schutzmechanismen und damit mit noch mehr Eigenverantwortung bei der Absicherung.