Claude Code: Auto Mode wird in Bezahlplänen zum Standard

Claude Code nimmt Menschen aus der Freigabeschleife, weil sie die falschen Befehle durchgewunken haben. Am 14. August macht Anthropic Auto Mode zum Standard für neue Claude-Code-Sitzungen in den Tarifen Pro, Max und Team, berichtet Simon Willison. Aus einem optionalen Ablauf wird damit Anthropic’s bevorzugtes Modell für die meisten zahlenden Nutzer.

Die Grundlage liefert ein Test mit 1.053 zahlenden Teilnehmern. In jeder Sitzung wurde eine Berechtigungsabfrage durch einen eindeutig gefährlichen Befehl ersetzt. Nur 13,6 % der Teilnehmer lehnten ihn ab. Laut Anthropic hätte Auto Mode 89 % dieser schädlichen Aktionen blockiert.

Das widerspricht einer Grundannahme der Agentensicherheit: Eine Freigabe schützt nicht, wenn Menschen reflexartig zustimmen. Ein Dialogfenster ist noch keine Sicherheitsmaßnahme. Es hilft nur, wenn jemand die Gefahr jedes Mal erkennt.

Auto Mode entfernt also nicht einfach das Schloss. Das System ersetzt eher einen unaufmerksamen Wachposten durch eine automatisierte Kontrolle. Sie wendet ihre Regeln konsequent an, erkennt aber nur bekannte Gefahren. Genau dort bleibt eine Lücke: 11 % der schädlichen Aktionen im Test wären durchgekommen.

Nutzer werden seltener unterbrochen und waren in diesem Test besser geschützt als durch manuelle Freigaben. Anthropic erhält einen schnelleren Standardablauf, der nicht auf ständig wiederholte Bestätigungen angewiesen ist. An Boden verliert vor allem die These, mehr Dialogfenster bedeuteten automatisch mehr Sicherheit.

Schwieriger ist indirekte Prompt Injection. Dabei stößt ein Agent in verarbeiteten Inhalten auf versteckte, bösartige Anweisungen. Anthropic beauftragte Trajectory Labs mit der Prüfung von 72 Szenarien, die dem Unternehmen vorenthalten worden waren. Bei 720 Angriffsversuchen war keiner erfolgreich. Getestet wurden Claude Fable 5, Opus 5 und Sonnet 5 mit Auto Mode in den öffentlich verfügbaren Versionen von Claude Code und Codex mit Stand vom 17. Juli 2026.

Das stützt Anthropic’s These, dass kontextabhängige Berechtigungsentscheidungen Menschen übertreffen können, die sich durch ständige Wiederholung an das Wegklicken von Abfragen gewöhnt haben. Anthropic erklärte Willison außerdem, dass intern bereits fast alle Auto Mode nutzten. Der neue Standard folgt damit der Nutzung im eigenen Unternehmen, statt den Ablauf zuerst an Kunden auszuprobieren.

Doch 720 gescheiterte Angriffe decken nicht jede Methode ab, die Angreifer einsetzen könnten. Eine saubere Testsuite belegt Widerstand gegen genau diese Szenarien, nicht gegen alle denkbaren Angriffe.

Willison nennt einen schwierigeren Fall. Ein Drittanbieterpaket könnte glaubwürdige Anweisungen zum Herunterladen von Modelldateien und Ausführen von Tests liefern, dabei aber heimlich zugängliche Daten stehlen. Wenn die Befehle wie normale Entwicklungsarbeit aussehen und aus einer Quelle stammen, die das Modell für vertrauenswürdig hält, muss Auto Mode Routine von verdecktem Missbrauch unterscheiden. Das ist deutlich schwerer, als einen offensichtlich gefährlichen Befehl in einem Berechtigungsdialog abzulehnen.

Unabhängige Tests sind deshalb jetzt entscheidend, besonders mit unbekannten Paketen, Werkzeugen und Wegen zur Datenexfiltration außerhalb von Anthropic’s zurückgehaltenen Szenarien. Ebenso wichtig sind klare Einsatzgrenzen. Willison fordert, Agenten keinen Zugriff auf Daten oder Werkzeuge zu geben, deren Missbrauch Schaden verursachen könnte. Auto Mode ist eine Sicherheitskontrolle, nicht die gesamte Verteidigungslinie.

Anthropic hat gezeigt, dass wiederholte manuelle Freigaben Reibung erzeugen und zugleich offensichtliche Gefahren übersehen können. Werden unabhängige Tests denselben Schutz feststellen, wenn sich ein bösartiger Befehl nicht von normaler Entwicklungsarbeit unterscheiden lässt?