Auf den Punkt: Anthropic aktiviert den Auto-Modus in Claude Code ab 14. August standardmaessig und stuetzt sich dabei auf Tests, die 89 Prozent Blockierungsrate gegen schaedliche Befehle sowie null erfolgreiche Angriffe bei 720 Prompt-Injection-Versuchen zeigen – unabhaengige Bestaetigung dieser Zahlen steht noch aus.
Ab dem 14. August aktiviert Anthropic den Auto-Modus in Claude Code standardmaessig fuer neue Sessions bei den meisten Plaenen. Begleitend veroeffentlicht das Unternehmen Sicherheitsdaten, die belegen sollen, dass automatisierte Freigaben schaedliche Aktionen zuverlaessiger verhindern als menschliche Reviewer.
Anthropic-Mitarbeiter Cat Wu und Thariq Shihipar erklaerten bei einem Fireside Chat auf der AI Engineer World’s Fair, dass innerhalb von Anthropic nahezu jede Person den Auto-Modus nutzt. Begruendet wird das mit neuen Evaluationsdaten: In einem Test mit 1.053 zahlenden Nutzern wurde mitten in jeder Session ein Freigabe-Prompt gegen einen eindeutig gefaehrlichen Befehl ausgetauscht. Nur 13,6 Prozent der menschlichen Tester lehnten die schaedliche Aktion ab, waehrend der Auto-Modus 89 Prozent dieser Aktionen blockiert haette. In den verbleibenden 11 Prozent der Faelle haette der Auto-Modus die Aktion nicht verhindert.
Zusaetzlich beauftragte Anthropic den Drittanbieter Trajectory Labs mit einer Untersuchung indirekter Prompt-Injection-Angriffe gegen die aktuellen oeffentlichen Versionen von Claude Code und Codex, Stand 17. Juli 2026. Getestet wurden 72 Szenarien mit insgesamt 720 Angriffsversuchen. Laut Anthropic gelang keiner dieser Angriffe gegen Claude Fable 5, Opus 5 oder Sonnet 5 im Auto-Modus.
Fuer Engineering-Teams bedeutet die Umstellung, dass Claude Code in typischen Workflows kuenftig ohne staendige manuelle Freigaben laeuft – ein Ansatz gegen sogenannte Confirmation Fatigue, bei der Nutzer wiederholte Bestaetigungsdialoge irgendwann reflexartig durchklicken. Fuer die Bewertung relevant bleiben zwei unterschiedliche Risikoklassen: versehentliche schaedliche Aktionen des Agenten selbst (etwa geloeschte Dateien oder eine geleerte Produktionsdatenbank) und indirekte Prompt Injection, bei der bösartige Anweisungen ueber externen Content eingeschleust werden.
Simon Willison, der fuer 2026 oeffentlich eine Sicherheitskrise bei Coding-Agenten vorhergesagt hat, aeussert Skepsis gegenueber den Trajectory-Labs-Ergebnissen und fordert unabhaengige Bestaetigung. Als Beispiel nennt er ein Szenario, in dem ein boesartiges Drittanbieter-Package eine Testanleitung vorgibt, die zunaechst den Befehl „uvx fetch-model-files .“ ausfuehren laesst – ein manipuliertes Paket, das Daten exfiltriert, bevor ueberhaupt der eigentliche Testlauf mit pytest gestartet wird. Fuer einen solchen Angriffsvektor sieht er keinen erkennbaren Schutzmechanismus durch den Auto-Modus.
Fuer den praktischen Einsatz folgt daraus: Wer Claude Code im Auto-Modus betreibt, sollte zusaetzlich auf Architekturebene absichern, dass Agenten keinen Zugriff auf Daten oder Werkzeuge erhalten, deren Missbrauch im Schadensfall gravierende Folgen haette – unabhaengig davon, wie belastbar die vom Hersteller kommunizierten Testergebnisse tatsaechlich sind.
Quelle: simonwillison.net · Erschienen 9. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.