Die Studie und ihr Aufbau, so wie Anthropic sie beschreibt: „1,053 paid testers through a research vendor for a coding study“, die „worked in a test environment set up specifically for the study, not in their own codebases or real projects“. In jeder Sitzung wurde „a single permission prompt … swapped for a clearly dangerous command“. Das Ergebnis fasst der Beitrag so zusammen: „human review caught just 13.6% of dangerous commands, while auto mode caught 89%“ – in absoluten Zahlen „143 of 1,053“ gegenüber „937 of 1,053“. Der für die Praxis wichtigere Befund ist der zeitliche Verlauf: „they blocked about 17% of dangerous commands early in a session, dropping to about 5% after 50 or more prior prompts, while auto mode’s block rate stayed flat regardless of session length.“
Dazu legt Anthropic Nutzungsdaten aus dem laufenden Betrieb offen, die den Bestätigungsdialog als Sicherheitsmechanismus in Frage stellen. Nutzer bestätigen 97 Prozent aller Berechtigungs-Rückfragen; bei einzelnen Berechtigungen liegt die Ablehnungsquote bei 3 Prozent, bei vorgelegten Plänen dagegen bei 39 Prozent – geprüft wird also dort, wo etwas zu entscheiden ist, nicht dort, wo im Sekundentakt bestätigt wird. Aus den Einstellungsdateien: 49,5 Prozent der aktiven CLI-Nutzer haben von Hand eine Bash-Erlaubnisregel angelegt, 43 Prozent Regeln für Interpreter, 5 Prozent erlauben pauschal jeden Shell-Befehl; 62 Prozent haben `bypassPermissions` genutzt oder „don’t ask again“ geklickt, und 25 Prozent der interaktiven Sitzungen starten direkt im Bypass-Modus.
Was der Klassifikator tut und was Anthropic aus dem Betrieb dazu berichtet: Er prüft jeden Werkzeugaufruf und blockiert „actions that are irreversible, destructive, or aimed outside your environment“ – der bereits im März 2026 angekündigte und seit dem 10. Juli allgemein verfügbare Auto-Mode war von Anfang an als sicherere Alternative zu `--dangerously-skip-permissions` gedacht. Rund 10 Prozent der Sitzungen seit Mitte Mai enthalten mindestens eine Klassifikator-Ablehnung. Beim Vergleich abgeschlossener Sitzungen nennt Anthropic 6,3 Prozent der von Hand freigegebenen Sitzungen mit einer schädlichen Aktion, die der Nutzer nicht verlangt hatte, gegenüber 2,4 Prozent im Auto-Mode; internes Red-Teaming senkte die Durchlassquote von 12 auf 7 Prozent. Als Produktivitätsargument führt der Beitrag an, Auto-Mode-Nutzer lieferten „about 25% more PRs“.
⚠️ Ein Teil der Zahlen ist ein Wettbewerbsvergleich und von uns nicht nachprüfbar: Für Prompt-Injection zitiert Anthropic eine Auswertung von „Trajectory Labs“ mit 720 Angriffsversuchen – „None of the 720 attack attempts succeeded against Claude Fable 5, Opus 5, or Sonnet 5“, während „5.83% of the attacks succeeded against GPT-5.6 Sol running Codex’s Auto-review mode“ und 19,03 Prozent im „Full Access mode“. Einen frei zugänglichen Bericht von Trajectory Labs zu dieser Auswertung haben wir nicht gefunden; die Zahlen stehen ausschließlich in Anthropics eigenem Beitrag und stellen das eigene Produkt gegen das des Wettbewerbers. Wir führen sie deshalb als Anbieterangabe, nicht als Messung.
⚠️ Zur Beleglage insgesamt: Die Primärquelle haben wir selbst geöffnet, ebenso zwei unabhängige Wiedergaben (9to5Mac, The Decoder), deren Kernzahlen deckungsgleich sind – Wiedergaben derselben Anbieterangaben, keine eigene Messung. Sämtliche Prozentwerte sind anbieter-selbstberichtet: Zur Studie liegt keine Veröffentlichung mit Methodenteil vor, weder Rohdaten noch die Liste der eingeschleusten Befehle sind einsehbar, und eine unabhängige Replikation existiert nicht. Anthropic selbst schränkt ein, Klassifikation beseitige das Risiko nicht: „For high-stakes changes to production infrastructure, we still recommend reviewing Claude’s actions yourself.“ Abschalten lässt sich der Modus in der Sitzung über Shift+Tab beziehungsweise das Auswahlmenü, organisationsweit über `defaultMode` oder `disableAutoMode` in den verwalteten Einstellungen. Verfasst ist der Beitrag von Conner Phillippi, unter Mitwirkung unter anderem der Sicherheitsforscher Nicholas Carlini und Javier Rando.