Dass Anthropic den Auto Mode in Claude Code zum Standard macht, hatte ich hier schon. Was mich mehr interessiert, sind die Zahlen dahinter – und die kommen nicht von Anthropic selbst, sondern von einem unabhängigen Labor.
Der Aufbau
Trajectory Labs, von Anthropic beauftragt, hat 72 neue Angriffsszenarien entworfen. Alles indirekte Prompt Injection, also der Versuch, Claude über manipulierte Inhalte in Dateien oder Webseiten zu bösartigen Aktionen zu bewegen. Jedes Szenario wurde zehnmal durchgespielt – macht 720 Angriffe insgesamt.
Der Clou: Die Angriffe waren gegen Claude Opus 4.7 optimiert, ein Modell, das im Test gar nicht antrat. Für die geprüften Modelle – Opus 5, Sonnet 5 und Fable 5 – waren es damit ungesehene Attacken. Und die Szenarien waren aus Anthropics eigenem Training und Testing herausgehalten worden. Kein Heimvorteil also.
Das Ergebnis
Null. Von 720 Angriffen kam kein einziger gegen Claude im Auto Mode durch. Zum Vergleich hat Trajectory Labs dieselbe Batterie auch gegen OpenAIs GPT-5.6 Sol laufen lassen: 5,83 Prozent Erfolgsquote im Auto-Review-Modus von Codex, 19,03 Prozent, wenn Codex mit vollem Zugriff lief.
Dahinter stehen drei Verteidigungsebenen: die Ausrichtung des Modells selbst, Prüfungen auf der Eingabeseite und ein Klassifikator, der auf der Ausgabeseite jede geplante Aktion abklopft. Erst wenn alle drei sauber sind, handelt der Agent.
Warum das zählt
Der Auto Mode existiert, weil das alte Modell nicht funktioniert hat. Anthropic hat gemessen, dass Menschen 97 Prozent aller Freigabe-Anfragen in Claude Code einfach durchgewunken haben – reflexhaft, nicht nach echter Prüfung. Wer bei jedem zweiten Klick «erlauben» drückt, prüft nichts mehr. Ein Klassifikator, der nur bei wirklich riskanten Aktionen anhält, ist da womöglich sicherer als ein abgestumpfter Mensch.
Ich bleibe trotzdem vorsichtig. Null Treffer in 720 Versuchen ist stark, aber es ist ein Testaufbau, kein Feldbeweis. Angreifer schlafen nicht, und der nächste Trick ist immer der, an den keiner gedacht hat. Trotzdem: Wer Agenten Aktionen ausführen lässt, braucht genau solche Zahlen, um überhaupt eine Entscheidung treffen zu können. Dass sie hier unabhängig erhoben wurden und den Vergleich zur Konkurrenz nicht scheuen, ist mehr wert als jede Marketing-Folie.
Quellen: