Anthropic macht Automodus bei Claude Code zum Standard

Anthropic gab am Freitag bekannt, dass der Automodus von Claude Code ab dem 14. August zur Standardeinstellung für neue Sitzungen in Pro-, Max- und Team-Konten wird. Dies ersetzt die manuellen Freigabeaufforderungen, durch die sich Entwickler lange Zeit ohne große Prüfung geklickt haben. Die Änderung überträgt routinemäßige Berechtigungsentscheidungen an einen proprietären Klassifizierer, der jeden Werkzeugaufruf bewertet und nur dann eingreift, wenn eine Aktion als unumkehrbar, destruktiv oder außerhalb der Umgebung des Benutzers gerichtet eingestuft wird.techcrunch+1

Das Argument gegen manuelle Überprüfungen

Der Wechsel begründet sich in dem, was Anthropic als Bestätigungsmüdigkeit beschreibt. Nach Angaben des Unternehmens genehmigen Benutzer 97 % der Berechtigungsaufforderungen in Claude Code. Diese Rate deutet darauf hin, dass der Sicherheitsmechanismus eher reflexartig als schützend geworden war. Interne Telemetriedaten stützen dieses Muster: Bis Juni hatten 62 % der Benutzer versucht, Berechtigungen zu umgehen oder "nicht mehr fragen" für Bash-Befehle ausgewählt, und 49,5 % der aktiven CLI-Benutzer hatten eine Bash-Erlaubnisregel erstellt.techi+1

In einer Studie mit 1.053 bezahlten Testern schleuste Anthropic einen eindeutig gefährlichen Befehl unter routinemäßige Berechtigungsaufforderungen ein. Der Automodus blockierte 89 % dieser Befehle; menschliche Tester lehnten nur 13,6 % ab. Die menschliche Wachsamkeit nahm mit zunehmender Dauer der Sitzungen weiter ab und fiel nach 50 oder mehr Aufforderungen auf rund 5 %.techcrunch+2

Boris Cherny, Leiter von Claude Code, schrieb auf X, dass sein Team den Automodus seit "vielen Monaten" ausschließlich nutzt und sich eine Rückkehr zu manuellen Freigaben nicht mehr vorstellen könne.techcrunch

Restrisiken und unabhängige Tests

Die Blockierrate von 89 % lässt eine Fehlerrate von 11 % übrig: 116 von 1.053 eingeschleusten Befehlen gelangten unentdeckt durch. Eine separate synthetische Fehlschlagsbewertung mit Apollo Research senkte die Fehlerrate nach der Härtung des Klassifizierers auf 7 %, obwohl Anthropic anmerkte, dass diese Zahl aus einem bewusst feindseligen Datensatz stammt und keine Messung des realen Datenverkehrs darstellt.techi

Bezüglich Prompt-Injection beauftragte Anthropic Trajectory Labs mit der Durchführung von 720 indirekten Injection-Angriffen auf Claude Fable 5, Opus 5 und Sonnet 5 im Automodus. Keiner war erfolgreich. Der Entwickler und Forscher Simon Willison gab jedoch zu bedenken, dass eine Erfolgsquote von null bei kuratierten Szenarien keine Garantie für die Widerstandsfähigkeit gegen Angriffe auf die Lieferkette bietet, etwa durch bösartige Drittanbieter-Pakete, die einen Agenten anweisen, zusätzliche Dateien abzurufen und auszuführen.cryptonomist

Schutzmechanismen und Umfang

Wenn der Automodus eine Aktion blockiert, versucht Claude eine sicherere Alternative oder bittet um eine ausdrückliche Genehmigung. Drei aufeinanderfolgende Ablehnungen oder 20 insgesamt in einer interaktiven Sitzung setzen das Werkzeug auf manuelle Freigaben zurück; headless Ausführungen werden stattdessen beendet. Teams können die Kontrollen mit expliziten Abfrageregeln für Operationen wie Pushes oder Pull-Requests sowie nicht übersteuerbaren Ablehnungsregeln weiter verschärfen.techi

Anthropic bestätigte, dass Pro-, Max- und Team-Benutzern der geringe Token-Overhead, den der Klassifizierer pro Werkzeugaufruf verursacht, nicht in Rechnung gestellt wird. Enterprise-, API- und Plattform-Implementierungen auf Amazon Web Services Amazon.com, Inc. ↗ 0.82%, Google Cloud Alphabet Inc. ↘ 0.88% und Microsoft ↗ 0.03% Foundry bleiben Opt-in, während eine breitere Einführung vorbereitet wird.cryptonomist+1