Claude Auto Mode wird Standard in den Claude-Apps: was die Prüfung blockiert und was hinter den 89 % steckt

Am 22. Oktober hat der Claude-Account angekündigt, dass die Apps dem Terminal folgen. Dort starten neue Claude-Code-Sessions mit Pro, Max und Team seit dem 14. August im Auto Mode:

Starting next week, sessions across Claude web, desktop, and mobile apps will run
in auto mode by default on Pro, Max, and Team plans. Rather than asking you to
approve each step, an automated check blocks risky actions. Switch back to manual
anytime.

Der Post zitiert auch die Schlagzeile vom August: Im Test habe der Auto Mode „89 % der gefährlichen Befehle abgefangen, die manuelle Freigabe 14 %“. Die Zahlen stimmen, und sie messen genau den Fall, für den ein Classifier gebaut ist: ein offensichtlich gefährlicher Befehl mitten in einer langen Session. Andersherum gelesen sind 116 dieser Befehle an der Prüfung vorbeigekommen. Für einen Befehl, der gezielt so formuliert ist, dass er durchkommt, hat niemand eine Zahl aus dem echten Betrieb veröffentlicht.

Was ändert sich in den Claude-Apps, wenn der Auto Mode Standard wird?

Neue Sessions in „den meisten Claude-Apps“ mit Pro, Max und Team starten im Auto Mode, statt vor jedem Shell-Befehl oder Netzwerkzugriff nachzufragen. Die Formulierung stammt aus Anthropics Update vom 22. Oktober, das keinen Zeitplan pro Produkt und keinen genauen Tag nennt. Bei Enterprise bekommen Admins eine E-Mail, bevor sich der Standard ändert.

Laut Doku gibt es den Auto-Schalter in Claude-Code-Sessions im Code-Tab der Desktop-App, auf claude.ai/code und in der Mobile-App. Auf dem Desktop merkt sich die App einen im Selector gewählten Modus pro Ordner, und der hat Vorrang vor dem Standard. Laut Anthropic ändert sich nichts für dich, wenn du einen Standard fest eingestellt hast. Cowork hat eigene Freigabemodi; mit der neuen Claude-Oberfläche listet die Hilfeseite dort schon jetzt Auto als Standard für Pro, Max und Team. Was die Sandbox von Cowork erreicht, ist dort die nützlichere Frage.

Was blockiert die Prüfung im Claude Auto Mode?

Sie soll Aktionen blockieren, die sich nicht rückgängig machen lassen, etwas zerstören oder sich gegen Systeme außerhalb deiner Umgebung richten. Die Standardliste umfasst Deploys und Migrationen in Produktion, Force-Pushes, curl | bash, terraform destroy, das Senden sensibler Daten an externe Endpunkte, das Anzeigen eines aktiven Credentials und interaktive Shells auf einem sensiblen Remote-System.

Deine eigenen Allow-, Ask- und Deny-Regeln greifen zuerst, normale Lese- und Schreibzugriffe im Arbeitsverzeichnis überspringen die Prüfung, und fast alles andere geht an ein separates Modell, in der Reihenfolge, die die Anleitung zum Setup beschreibt. Wenn die Prüfung blockiert, findet Claude laut Anthropic „meist selbst einen sichereren Weg“. Nach 3 Blockaden hintereinander oder 20 in einer Session pausiert der Auto Mode und fragt dich wieder.

In Antworten auf die Ankündigung und in Reddit-Threads beschreiben Leute, wie Deploy-, Docker- und Remote-Shell-Befehle abgelehnt werden und Claude dann einen anderen Weg probiert. Dieses Ausweichen ist dokumentiertes Verhalten. Wenn der Classifier deine Infrastruktur schlicht nicht kennt, ist die Antwort der Doku, sie in autoMode.environment zu beschreiben.

Was hat Anthropics Studie zu 89 % vs. 14 % im Auto Mode gemessen?

Sie hat gemessen, wie oft ein einzelner, klar gefährlicher Befehl durchgerutscht ist. Anthropic hat 1.053 bezahlte Tester für eine Coding-Studie in einer Testumgebung angeworben. Irgendwann in jeder Session wurde eine Freigabeabfrage gegen einen klar gefährlichen Befehl ausgetauscht; ausgeführt wurde nichts. Menschen haben ihn 143-mal blockiert (13,6 %), der Auto Mode 937-mal (89 %). Im direkten Vergleich hat der Auto Mode 800 Befehle blockiert, die ein Mensch freigegeben hatte; Menschen haben 6 blockiert, die der Auto Mode durchgelassen hätte.

Die Menschen ließen außerdem nach, von etwa 17 % am Anfang einer Session auf etwa 5 % nach 50 Abfragen. Diese Kurve ist der Reflex, den ich im August beschrieben habe, jetzt mit Anthropics eigenen Zahlen. Auf derselben Seite steht die Freigabequote bei Berechtigungsabfragen in Claude Code bei 97 %, gestiegen von den 93 %, die ich damals zitiert habe.

Anthropic schreibt außerdem, dass die Daten in dem Artikel speziell für Claude Code gelten. Zwei Zahlen fehlen. Es gibt keine False-Positive-Rate: Ein Kunde berichtet von einer Ablehnung in etwa 10 % der Sessions, und das zählt Ablehnungen, nicht Fehlentscheidungen. Und es gibt keine Fehlerquote im echten Betrieb.

Ist der Claude Auto Mode sicherer als die manuelle Freigabe?

Gegen einen offensichtlichen Fehler ja, und zwar deutlich. Gegen einen Befehl, der gezielt so gebaut ist, dass er durchkommt, wird die Beweislage schnell dünn. Die Tests aus Angreifersicht sind synthetisch. Auf dem Red-Team-Set von Apollo Research lag die Fehlerquote nach dem Härten des Classifiers bei 7 %, über bekannte und zurückgehaltene Fälle hinweg, und Anthropic benennt die Grenze selbst:

The 7% miss rate is measured against this set and should not be taken as the
miss rate on real traffic.

Eine separate Prompt-Injection-Evaluierung über einen Test-Wrapper fand in 720 Versuchen pro getestetem Claude-Modell keinen erfolgreichen Angriff. Beides ist nützlich, und keins von beiden misst jemanden, der einen Befehl immer wieder umformuliert, bis er gegen dein Setup durchgeht. Genau um diesen Fall geht es im Argument aus meinem früheren Essay. Ein müder Mensch ist unzuverlässig, aber unberechenbar; ein Classifier urteilt konsistent, also lässt sich eine Formulierung, die an ihm vorbeikommt, gezielt suchen. Der Auto Mode ist besser, als vierzigmal auf „Allow“ zu klicken. Eine Sandbox für das, was du nicht rückgängig machen kannst, ersetzt er nicht.

Wird der Claude Auto Mode auf dein Nutzungslimit angerechnet?

Der Mehraufwand des Classifiers nicht, jedenfalls bei Pro, Max und Team. Anthropic berechnet ihn diesen Plänen seit dem 7. August nicht mehr, und laut Doku zählen Classifier-Aufrufe nur bei Enterprise sowie bei der API und den Cloud-Anbietern zur Token-Nutzung. Wo der Server die Aktionen innerhalb der Modell-Requests der Session prüft, gibt es gar keine separaten Aufrufe. Ein Reddit-Thread behauptet, der Auto Mode verbrauche das Wochenlimit schneller; das ist nicht belegt, und eine Session, die nie zum Nachfragen anhält, erledigt schlicht auch mehr Arbeit.

Wie schaltest du den Claude Auto Mode in den Apps ab?

Nimm den Modus-Selector unter dem Eingabefeld. Auf dem Desktop wählst du Manual; die Wahl bleibt für diesen Ordner gespeichert. Auf claude.ai/code nutzt du das Dropdown neben dem Eingabefeld. Cloud-Sessions haben kein Manual: Sie bieten Accept edits, Plan und Auto, und Accept edits ersetzt dort Manual, weil Cloud-Sessions Dateiänderungen ohnehin vorab freigeben. Plan erkundet, ohne deinen Code zu ändern. In der Mobile-App tippst du im Eingabefeld auf + und dann auf Permission.

Einen Standard auf Nutzerebene für neue lokale Sessions setzt du, indem du permissions.defaultMode in ~/.claude/settings.json einträgst. Eine Wahl pro Ordner hat trotzdem Vorrang, und ein Wert auto in der .claude/settings.json oder .claude/settings.local.json eines Projekts greift nicht.

{
  "permissions": {
    "defaultMode": "default"
  }
}

Admins bei Team und Enterprise können den Auto Mode entfernen, indem sie in den Managed Settings permissions.disableAutoMode auf "disable" setzen.

Mein Rat für die erste Woche: Lass Auto an, wo nichts bis in die Produktion reicht, lies mit, was er blockiert (im Terminal listet der Tab Recently denied in /permissions das auf), und verschieb die paar Aktionen, die nie laufen sollen, in Deny-Regeln. Die greifen, bevor der Classifier überhaupt gefragt wird. Sie prüfen den Befehlstext, also sind sie ein Mindestschutz, keine Garantie.