Claude Code schaltet ab 14. August auf Auto-Modus

Ab dem 14. August 2026 arbeitet Claude Code für Nutzer der Tarife Pro, Max und Team standardmäßig im sogenannten Auto-Modus: Statt bei praktisch jedem Befehl auf eine manuelle Freigabe zu warten, prüft ein automatischer Klassifikator die Aktionen und lässt die KI meist einfach weiterarbeiten. Anthropic begründet den Schritt mit einer eigenen Studie, die ein unbequemes Bild von menschlicher Kontrolle zeichnet: Testpersonen erkannten gefährliche Befehle deutlich seltener als der Klassifikator selbst.

Das Wichtigste in Kürze

• Ab 14. August 2026 ist der Auto-Modus für Pro-, Max- und Team-Tarife voreingestellt, Enterprise- und API-Kunden bleiben vorerst per Opt-in dabei.
• In einer Studie mit 1.053 bezahlten Testern erkannten Menschen nur 13,6 Prozent gefährlicher Befehle, ein Klassifikator kam auf 89 Prozent.
• Nach rund 50 Prompts sank die menschliche Trefferquote laut Anthropic auf etwa 5 Prozent, weil Nutzer 97 Prozent aller Freigabe-Anfragen reflexhaft bestätigen.
• Bei echten Sessions enthielten 6,3 Prozent der manuell freigegebenen Läufe schwere unbeabsichtigte Schäden, im Auto-Modus waren es 2,4 Prozent.
• Kritiker wie der bekannte KI-Entwickler Simon Willison sehen das größte Restrisiko nicht in offensichtlich gefährlichen Befehlen, sondern in versteckter Prompt Injection über Drittquellen.

Warum Anthropic der eigenen Belegschaft weniger zutraut als einem Klassifikator

Der Auslöser für die Umstellung ist unbequem für alle, die sich für aufmerksame Entwickler halten: Laut Anthropics Studie mit 1.053 bezahlten Testpersonen erkannten Menschen im Schnitt nur 13,6 Prozent der eingebauten gefährlichen Befehle, etwa Aktionen, die Daten löschen, Zugangsdaten preisgeben oder Systeme irreversibel verändern. Der neue Klassifikator kam im gleichen Test auf 89 Prozent. Der Effekt hat einen Namen, den jeder kennt, der schon einmal ungelesen auf „Weiter“ geklickt hat: Bestätigungsmüdigkeit. Nutzer bestätigen laut Anthropic 97 Prozent aller Freigabe-Dialoge, ohne sie wirklich zu prüfen, und nach etwa 50 Prompts in einer Sitzung fällt die Trefferquote auf ungefähr 5 Prozent. Das deckt sich mit einer Beobachtung, die auch bei anderen KI-Agenten-Systemen immer wieder auftaucht: Je autonomer die Werkzeuge werden, desto mehr verschiebt sich die Rolle der Menschen vom Ausführen zum bloßen Durchwinken.

Wie der Klassifikator im Detail arbeitet

Der Auto-Modus ersetzt nicht jede Kontrolle, sondern verlagert sie. Der Klassifikator zielt gezielt auf Aktionen, die irreversibel, destruktiv oder eindeutig außerhalb des erwarteten Rahmens liegen, etwa das Löschen von Verzeichnissen, das Überschreiben von Produktionsdaten oder ungewöhnliche Netzwerkzugriffe. Bestimmte Kategorien sind als „Hard Denies“ fest verdrahtet, etwa der Abfluss sensibler Daten, unabhängig davon, wie der Klassifikator die Situation im Einzelfall bewertet. Vor zerstörerischen Git-Operationen prüft das System zusätzlich den Repository-Status. Wird eine Aktion blockiert, sucht Claude zunächst nach einem sichereren alternativen Weg, bevor es doch auf eine manuelle Rückfrage umschaltet. Häufen sich die Blockaden, in drei aufeinanderfolgenden Fällen oder zwanzigmal in einer Sitzung, schaltet der Auto-Modus automatisch zurück auf manuelle Freigabe. In der Praxis soll sich das laut Anthropic auch produktiv bemerkbar machen: Teams, die im Auto-Modus arbeiten, erzeugen rund 25 Prozent mehr Pull Requests als Teams mit klassischer Schritt-für-Schritt-Bestätigung. Zusätzlicher Anreiz: Anthropic verzichtet auf separate Gebühren für die Token, die der Classifier bei jedem Tool-Aufruf verbraucht.

Prompt Injection bleibt die eigentliche Baustelle

Der zweite große Baustein der Ankündigung betrifft Angriffe von außen statt eigene Fehlbedienung. Anthropic hat den Auto-Modus laut eigenen Angaben gegen 720 Szenarien indirekter Prompt Injection getestet, also Fälle, in denen bösartige Anweisungen über externe Inhalte wie Webseiten, Paketbeschreibungen oder Dateien in eine Session geschmuggelt werden. Ergebnis: 0 Prozent erfolgreiche Angriffe gegen die eigenen Claude-Modelle, gegenüber 5,83 Prozent bei einem Vergleichstest mit OpenAIs GPT-5.6 Sol. OpenAI selbst hat sich bei GPT-5.6 bewusst gegen einen vergleichbaren Auto-Modus entschieden, was den Kontrast zwischen den beiden Anbietern zusätzlich schärft. Trotzdem bleibt genau das der Punkt, an dem selbst wohlwollende Beobachter skeptisch werden. Der bekannte KI-Entwickler und -Blogger Simon Willison begrüßt zwar, dass Bestätigungsmüdigkeit ein reales Problem ist, das der Auto-Modus lindert, hält aber an seiner Prognose eines möglichen „Sicherheitsdebakels für Coding-Agents“ im Jahr 2026 fest. Seine Hauptsorge gilt bösartigen Drittanbieter-Paketen, die Anweisungen so tarnen, dass weder Mensch noch Klassifikator sie als gefährlich erkennen. Er fordert deshalb unabhängige Überprüfungen der Anthropic-Zahlen, statt sie unbesehen zu übernehmen, ein Vorbehalt, der angesichts der Selbstauskunft eines einzelnen Anbieters nachvollziehbar ist. Auch Anthropic selbst dämpft die Erwartungen: Der Auto-Modus reduziere Risiko für die meisten Nutzer, beseitige es aber nicht, und für hochriskante Produktionsänderungen bleibe manuelle Prüfung empfohlen. Wie schon der Wettbewerb um Coding-Agenten zeigt, treibt der Konkurrenzdruck alle großen Anbieter dazu, Autonomie schneller auszubauen, als sich Sicherheitsversprechen unabhängig prüfen lassen.

Ausblick

Für Entwickler, die Claude Code bereits nutzen, ändert sich ab dem 14. August zunächst vor allem der Standardwert, abschalten oder anpassen lässt sich der Auto-Modus weiterhin über die Konfiguration. Interessanter ist die Richtung, die Anthropic damit vorgibt: Wer Coding-Agenten produktiv einsetzen will, kommt an einer Form von automatisierter Aufsicht kaum vorbei, weil Menschen bei repetitiven Freigaben nachweislich nachlässig werden. Ob der Klassifikator dieser Aufgabe langfristig gewachsen ist, hängt weniger von den bislang vorgelegten Zahlen ab als davon, ob unabhängige Sicherheitsforscher sie in freier Wildbahn bestätigen, gerade bei den raffinierteren Prompt-Injection-Angriffen, die noch nicht in Anthropics eigenen Testszenarien aufgetaucht sind. Bis dahin gilt für Nutzer eine nüchterne Faustregel: Auto-Modus nimmt Arbeit ab, ersetzt aber kein Urteilsvermögen bei wirklich riskanten Änderungen.