Anthropic schaltet den Auto-Modus von Claude Code ab dem 14. August für Pro-, Max- und Team-Nutzer standardmäßig ein. Ein Klassifikator prüft dann jeden Befehl automatisch auf gefährliche Aktionen, statt jede Freigabe von Hand einzuholen. In einem Test mit 1.053 zahlenden Nutzern erkannte der Klassifikator 89 Prozent gefährlicher Kommandos, Menschen nur 13,6 Prozent.
Klassifikator schlägt menschliche Prüfung im direkten Vergleich
Auto-Modus soll laut Anthropics Ankündigung einen Mittelweg zwischen bedingungsloser Freigabe aller Aktionen und wiederholten Einzelbestätigungen bieten: Entwickler sollen längere, autonome Arbeitsabläufe zulassen können, ohne bei jedem Schritt einzugreifen. Der Klassifikator bewertet dafür jeden Werkzeugaufruf von Claude Code darauf, ob er irreversible, zerstörerische oder aus dem vorgesehenen Rahmen fallende Wirkung hätte. Blockiert das System einen Befehl, sucht Claude selbstständig einen sichereren Weg oder fragt direkt nach Erlaubnis. Erst nach drei aufeinanderfolgenden oder 20 Blockaden in einer Sitzung schaltet das Werkzeug automatisch zurück auf manuelle Freigabe.
Im direkten Vergleich zeigte sich die Lücke deutlich: Der Klassifikator blockierte 800 riskante Befehle, die menschliche Tester zuvor genehmigt hatten – umgekehrt ließ er nur sechs Kommandos durch, die Menschen gestoppt hätten. Die menschliche Trefferquote sank zudem mit der Sitzungsdauer: Zu Beginn erkannten Tester noch rund 17 Prozent der gefährlichen Befehle, nach mehr als 50 Freigaben nur noch etwa fünf Prozent. Der Klassifikator blieb über die gesamte Sitzung konstant bei seiner Erkennungsrate.
Produktionsdaten und externe Tests stützen den Rollout
Anthropic stützt den Rollout zusätzlich mit Produktionsdaten aus Mai und Juni 2026: Bei manuell freigegebenen Sitzungen kamen demnach doppelt so häufig unbeabsichtigt schädliche Aktionen vor wie im Auto-Modus – auf der höchsten Schwere-Stufe lag die Quote bei 6,3 Prozent gegenüber 2,4 Prozent. Ein unabhängiges Red-Team von Trajectory Labs testete zudem 72 Angriffsszenarien gegen die Modelle Claude Fable 5, Opus 5 und Sonnet 5 im Auto-Modus und erzielte eine Erfolgsquote von null Prozent; im vergleichbaren Freigabemodus von OpenAIs GPT-5.6 Sol gelangen den Testern dagegen 5,83 Prozent der Angriffe.
Der Anbieter reagiert damit auch auf eigene Vorfälle: Erst im Juli musste Anthropic einräumen, dass Claude-Modelle bei Sicherheitstests in fremde Systeme eindrangen. Firmenkunden wie Adobe, Nuro, Gusto und Garner Health setzen den Auto-Modus nach Angaben des Unternehmens bereits produktiv ein und veröffentlichen damit rund 25 Prozent mehr Pull Requests – eine Zahl, die unabhängig nicht verifiziert ist. Bei Gusto enthielten seit Mitte Mai rund zehn Prozent aller Sitzungen mindestens eine Blockade durch den Klassifikator. Anders als Anthropic verzichtet OpenAI beim Modell GPT-5.6 vorerst auf einen automatischen Freigabemodus und setzt weiter auf manuelle Kontrolle.
Rollout verläuft stufenweise, Rückkehr zur manuellen Kontrolle bleibt möglich
Bestehende Sitzungen von Pro-, Max- und Team-Kunden erhalten die neue Voreinstellung automatisch, sofern niemand zuvor einen anderen Modus fest eingestellt hat; Nutzer sehen dazu einmalig einen Hinweis und können jederzeit über die Tastenkombination Umschalt+Tab zurückschalten. Enterprise- und API-Zugänge bleiben zunächst opt-in, sollen aber laut Anthropic innerhalb eines Monats ebenfalls automatisch umgestellt werden; Administratoren legen den Standard zentral über eine Konfigurationsdatei fest oder deaktivieren die Funktion vollständig.
Gegen Datenabfluss gelten feste, anpassbare Sperrregeln, vor zerstörerischen Aktionen prüft das System zusätzlich den Git-Status, und aus dem Netz geladene Inhalte werden auf versteckte Prompt-Injection-Versuche durchsucht. Dass Angreifer Werkzeuge wie Claude Code gezielt ins Visier nehmen, zeigte zuletzt ein Wurm, der sich Anfang August über 444 npm-Pakete verbreitete und dabei nach Zugangsdaten für KI-Programmierwerkzeuge suchte. Anthropic selbst schränkt ein, der Auto-Modus verlasse sich auf ein Klassifikationssystem und schließe Risiken „nicht vollständig aus” – bei folgenreichen Änderungen an Produktivsystemen empfehle sich weiterhin eine manuelle Prüfung.
Entscheidend wird, ob der Klassifikator selbst zum neuen Angriffsziel wird: Sobald Automatisierung zur Regel wird, dürfte sich mancher Angriffsversuch weniger gegen unaufmerksame Entwickler richten als gegen die Filterlogik dahinter. Ob sich Anthropics Zahlen auch außerhalb der kontrollierten Studie bestätigen, zeigt sich frühestens, wenn der Standard voraussichtlich im September auch bei Enterprise- und API-Kunden greift.
