Anthropic schaltet den Auto Mode ab dem 14. August für alle neuen Claude-Code-Sitzungen der Lizenzen Pro, Max und Team standardmäßig ein. Damit führt die KI Shell-, Git- und sonstige Tool-Befehle eigenständig aus und muss nicht mehr vor jedem einzelnen Arbeitsschritt um Zustimmung bitten.

Uneingeschränkten Zugriff bekommt Claude Code dadurch aber nicht: Ein interner Klassifikator prüft jede Aktion darauf, ob sie schwer rückgängig zu machen oder schädlich sein könnte oder über den eigentlichen Arbeitsbereich hinausgeht.

Erscheint ein Schritt riskant, wird er gestoppt – Claude Code sucht dann nach einem sichereren Vorgehen oder bittet doch um Zustimmung. Kommt es innerhalb einer Sitzung dreimal hintereinander oder insgesamt zwanzigmal zu solchen Stopps, schaltet das Tool von selbst wieder auf manuelle Bestätigung um. Bei Eingriffen in Produktivsysteme rät Anthropic den Nutzern ausdrücklich, jeden Schritt selbst zu kontrollieren.

Anthropic begründet den Schritt mit der sogenannten Permission Fatigue: Anwender segnen Sicherheitsabfragen demnach meist ab, ohne sie wirklich zu prüfen. Laut Unternehmensangaben stimmten Nutzer 97 Prozent der einzelnen Freigabeanfragen zu und lehnten nur 3 Prozent ab – bei grundsätzlicheren Planungsentscheidungen widersprachen sie dagegen in 39 Prozent der Fälle.

Eine eigene kontrollierte Untersuchung von Anthropic zeigte zudem, dass menschliche Prüfer nur 13,6 Prozent gezielt eingebauter, eindeutig riskanter Befehle bemerkten – der Klassifikator im Auto Mode stoppte davon 89 Prozent. In einer separaten Auswertung von Sitzungen, die die hauseigene Sicherheits-Pipeline markiert hatte, fanden sich in 6,3 Prozent der manuell freigegebenen Sitzungen ungewollte schädliche Aktionen mit mindestens produktionsrelevantem Schadenspotenzial. Im Auto Mode traf das nur auf 2,4 Prozent der Sitzungen zu.

Bestimmte Aktionen lässt der Klassifikator grundsätzlich nie zu, etwa den Versuch, Quellcode oder andere Daten unbemerkt an externe Adressen abfließen zu lassen. Bei Git-Befehlen bezieht das System auch den Zustand des Repositories mit ein, etwa ob es noch nicht gespeicherte Änderungen gibt, und prüft, ob das Zielverzeichnis öffentlich zugänglich, privat oder als vertrauenswürdig markiert ist. Ergänzend prüft eine eigene Erkennung, ob Eingaben versuchen, das Modell durch versteckte Anweisungen zu manipulieren. Um die Zuverlässigkeit des Klassifikators zu belegen, verweist Anthropic auf eigene sowie von externen Teams durchgeführte Angriffssimulationen.

Wirtschaftlich dürfte vor allem das Versprechen höherer Produktivität überzeugen: Laut Anthropic liefern Teams mit aktiviertem Auto Mode etwa ein Viertel mehr Pull Requests, belegt anhand von Erfahrungen bei Adobe, Nuro, Gusto und Garner Health. Wie aussagekräftig das ist, bleibt allerdings offen, denn Zahlen zu Bearbeitungsdauer, Fehlerhäufigkeit, nötigem Prüfaufwand oder tatsächlichen Vorfällen im Betrieb nennt das Unternehmen nicht.

Sofern Kunden bislang keine abweichende Einstellung gewählt haben, greift die neue Standardeinstellung automatisch. Zwar benötigt die zusätzliche Prüfung durch den Klassifikator mehr Token, doch will Anthropic diese Mehrkosten Kunden der Tarife Pro, Max und Team nicht in Rechnung stellen. Wer Claude über Enterprise-Verträge, die API oder Plattformen wie AWS, Amazon Bedrock, Google Cloud Agent Platform und Microsoft Foundry nutzt, merkt vorerst keine Änderung – hier soll die Umstellung erst im Laufe des kommenden Monats folgen.