Claude Code bekommt Auto Mode: Anthropic gibt seinem Coding-Agenten mehr Kontrolle
KI-generiert mit Sora
Anthropic hat ein Update für Claude Code veröffentlicht. Die neue Funktion „Auto Mode“ erlaubt dem KI-Coding-Agenten, bestimmte Aktionen selbstständig auszuführen, ohne dass Entwickler jeden Schritt einzeln bestätigen müssen. Risikoreiche Aktionen werden weiterhin blockiert.
Was ist der Auto Mode?
Bisher standen Claude-Code-Nutzer vor einer Entweder-oder-Entscheidung. Entweder jede Dateioperation sowie jeden Bash-Befehl einzeln genehmigen oder mit dem Flag --dangerously-skip-permissions alle Sicherheitsabfragen komplett abschalten. Der Auto Mode ist laut dem offiziellen Blogpost von Anthropic ein Mittelweg.
Vor jeder Aktion prüft ein separates KI-Modell, ob der geplante Schritt zum ursprünglichen Auftrag passt. Dieses Kontrollmodell, der sogenannte Classifier, bewertet außerdem, ob der Schritt potenziell gefährlich ist. Sichere Aktionen werden automatisch ausgeführt. Riskante Aktionen werden blockiert und Claude Code sucht einen alternativen Weg. Wenn der Agent wiederholt an Blockierungen scheitert, wird der Nutzer um eine manuelle Entscheidung gebeten.
AnzeigeWie funktioniert die Absicherung technisch?
Der Classifier läuft laut der offiziellen Dokumentation auf Claude Sonnet 4.6. Das gilt unabhängig davon, welches Modell für die eigentliche Coding-Session verwendet wird. Jede Aktion wird darauf geprüft, ob sie den vom Nutzer definierten Auftrag überschreitet. Zudem erkennt der Classifier Zugriffe auf nicht vertrauenswürdige Infrastrukturen. Darüber hinaus sucht dieser nach Anzeichen für eine Prompt Injection. Also den Versuch, den Agenten über manipulierte Inhalte in Dateien oder Webseiten zu unerwünschten Aktionen zu verleiten.
Der Softwareentwickler und KI-Sicherheitsexperte Simon Willison hat die Standard-Filterregeln analysiert, die über den Befehl claude auto-mode defaults einsehbar sind. Die Regeln unterscheiden drei Kategorien. Erlaubt sind etwa Lese-Operationen, Testdaten und Paketinstallationen aus bestehenden Manifest-Dateien. Weich blockiert werden Force Pushes, das Löschen von Remote-Branches und die Ausführung von Code aus externen Quellen. Daneben gibt es hart blockierte Aktionen. Entwickler können eigene Regeln hinzufügen.
Wie sicher ist der Auto Mode?
Anthropic betont im Blogpost, dass der Auto Mode das Risiko reduziert, aber nicht eliminiert. Laut Anthropic kann der Classifier riskante Aktionen durchlassen. Etwa wenn der Nutzerauftrag mehrdeutig ist oder Claude nicht genug Kontext über die Umgebung hat. Umgekehrt blockiert er möglicherweise auch harmlose Aktionen. Anthropic empfiehlt weiterhin, den Auto Mode in isolierten Umgebungen zu nutzen.
Simon Willison weist in seiner Analyse auf ein grundsätzliches Problem hin. Die Absicherung basiert auf einem KI-Modell und liefert damit keine garantiert gleichbleibenden Ergebnisse. Willison bevorzugt robuste Sandboxes, die Dateizugriffe und Netzwerkverbindungen deterministisch einschränken. Warum Sandboxing bei KI-Agenten ein grundsätzlich anderes Sicherheitsmodell erfordert, haben wir bereits analysiert. Willison merkt auch an, dass die Erlaubnisregel für pip install -r requirements.txt nicht vor Supply-Chain-Angriffen schützt. Bei solchen Angriffen schleusen Angreifer Schadcode in Software-Pakete ein, die Entwickler automatisch herunterladen. Am selben Tag wurde ein solcher Angriff auf LiteLLM bekannt, ein Open-Source-Werkzeug, das Anfragen an verschiedene KI-Modelle vermittelt.
Laut TechCrunch hat Anthropic die genauen Kriterien, nach denen der Classifier sichere von riskanten Aktionen unterscheidet, nicht vollständig offengelegt.
Wer kann den Auto Mode nutzen?
Der Auto Mode ist als Research Preview für Team-Nutzer verfügbar. Enterprise- und API-Nutzer erhalten den Zugang in den kommenden Tagen. Das Feature funktioniert mit Claude Sonnet 4.6 und Opus 4.6. Admins können den Auto Mode über Managed Settings deaktivieren.
Warum abgestufte Berechtigungen wichtig sind
Das Auto-Mode-Konzept zeigt ein Designmuster, das über Claude Code hinaus relevant ist: abgestufte Berechtigungen statt Alles-oder-Nichts. KI-Coding-Agenten müssen Dateien lesen, schreiben und Befehle ausführen. Ohne Autonomie sind sie für längere Aufgaben unbrauchbar. Ohne Einschränkungen sind sie ein Sicherheitsrisiko.
Die gleiche Frage stellt sich bei jedem KI-Agenten mit Systemzugriff. Wir haben das Problem im Kontext von OpenClaw ausführlich analysiert. Auch bei Prompt Engineering für KI-Agenten spielt die Steuerung von Berechtigungen eine zentrale Rolle.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
