Auf den Punkt: Anthropic setzt Claude Code ab dem 14. August 2026 standardmäßig auf Auto-Modus, gestützt auf Tests mit 1.053 Nutzern und eine Drittanbieter-Evaluation von 720 Prompt-Injection-Angriffen ohne Erfolg – Kritiker fordern dennoch unabhängige Bestätigung und raten weiterhin zu restriktiven Zugriffsrechten für Agenten.
Ab dem 14. August 2026 startet Claude Code für die meisten Abonnements standardmäßig im Auto-Modus statt mit manueller Freigabe jeder einzelnen Aktion. Anthropic begründet den Schritt mit eigenen Sicherheitsauswertungen, die den Modus in kritischen Punkten besser abschneiden lassen als menschliche Reviewer.
Anthropic stellt Claude Code für Pro-, Max- und Team-Pläne ab dem 14. August 2026 standardmäßig auf den Auto-Modus um, der Agenten-Aktionen ohne wiederholte manuelle Bestätigung ausführen lässt. Der Schritt basiert unter anderem auf einer Befragung von 1.053 zahlenden Testern: Mitten in jeder Sitzung wurde eine reguläre Berechtigungsanfrage unbemerkt gegen einen eindeutig gefährlichen Befehl ausgetauscht. Nur 13,6 Prozent der menschlichen Tester lehnten diese schädliche Aktion ab, während der Auto-Modus laut Anthropic 89 Prozent solcher Aktionen blockiert hätte. Damit blieben in der Auswertung dennoch rund 11 Prozent der Fälle übrig, in denen auch der Auto-Modus die Aktion nicht verhindert hätte. Cat Wu und Thariq Shihipar von Anthropic hatten bereits beim Fireside Chat auf der AI Engineer World’s Fair erklärt, dass innerhalb des Unternehmens nahezu jede Person den Auto-Modus nutzt und man die Risiken für Prompt Injection und Datenexfiltration für deutlich geringer halte als bei durchschnittlicher menschlicher Prüfung.
Für Engineering-Teams verschiebt sich damit die Verantwortung von punktueller Freigabe hin zu einer grundsätzlichen Vertrauensentscheidung gegenüber dem Agenten. Confirmation Fatigue – das reflexartige Wegklicken von Bestätigungsdialogen nach wenigen Interaktionen – gilt als reales Problem, das die bisherige Freigabepraxis ohnehin unsicher gemacht hat. Gleichzeitig bleiben zwei unterschiedliche Risikoklassen bestehen: versehentliche Schadenshandlungen wie das Löschen falscher Dateien oder produktiver Datenbanken einerseits, und gezielte Prompt-Injection-Angriffe andererseits, bei denen Anweisungen über extern konsumierten Content in den Agenten geschmuggelt werden.
Zur zweiten Risikoklasse verweist Anthropic auf eine von Trajectory Labs durchgeführte Drittanbieter-Evaluation. Getestet wurden aktuelle öffentlich verfügbare Versionen von Claude Code und Codex, Stand 17. Juli 2026, gegen 72 indirekte Prompt-Injection-Szenarien, die zuvor nicht Teil des Trainings- oder Testmaterials von Anthropic waren. Von insgesamt 720 Angriffsversuchen sei laut Anthropic keiner gegen Claude Fable 5, Opus 5 oder Sonnet 5 im Auto-Modus erfolgreich gewesen.
Simon Willison, der für 2026 ein „Challenger-Desaster“ bei der Sicherheit von Coding-Agenten vorhergesagt hatte, äußert sich in seiner Analyse skeptisch gegenüber der Vollständigkeit dieser Ergebnisse und wünscht sich unabhängige Bestätigung. Als Beispiel nennt er ein Angriffsszenario über ein bösartiges Drittanbieter-Paket, das den Agenten anweist, vor dem eigentlichen Testlauf zunächst ein zweites, präpariertes Paket auszuführen, das Daten exfiltriert – ein Muster, gegen das aus seiner Sicht kein Auto-Modus zuverlässig schützen kann. Für Engineering-Teams, die Claude Code produktiv einsetzen, bleibt damit die Empfehlung relevant, Agenten grundsätzlich keinen Zugriff auf Daten oder Werkzeuge zu geben, deren Missbrauch im Ernstfall Schaden anrichten könnte – unabhängig davon, wie gut der jeweilige Automatisierungsmodus in Benchmarks abschneidet.
Quelle: simonwillison.net · Erschienen 9. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.