Claude Code erlaubt Mods – mit vollen Rechten des Nutzers

Bisherige Erweiterungen wirkten von außen: Hooks starten bei bestimmten Ereignissen ein Skript, Skills geben dem Modell Anweisungen, MCP-Server zusätzliche Werkzeuge. Ein Mod ist dagegen eine Sammlung von Funktionen, die Claude Code im eigenen Prozess aufruft – vor jedem Werkzeugaufruf, bei jedem Prompt oder beim Zeichnen der Oberfläche. Der Mod kann das Ereignis beobachten, verändern oder selbst beantworten, etwa einen riskanten Befehl anhalten und nachfragen oder eine Anfrage an ein anderes Modell schicken.

Mods werden wie andere Plugins über Marktplätze installiert und sind ab Version 2.1.287 standardmäßig aktiv. Eigene Bedienelemente wie Seitenleisten erscheinen nur im Terminal und im Code-Tab der Desktop-App; in der VS-Code-Erweiterung, im Headless-Betrieb und in Cloud-Sitzungen laufen die Funktionen ohne Oberfläche. Teile von Claude Code sind selbst als Mods gebaut, etwa die Diff-Ansicht. Anthropic stellt Beispiel-Mods ohne Support bereit; einen eigenen Mod kann Claude auf Anfrage schreiben.

Mitgeliefert, aber erst nach Einschalten aktiv, ist der Mod „You should know“: Ein Nebenagent beobachtet die Sitzung und weist auf Punkte hin, die Nutzer oder Claude übersehen könnten. Laut Changelog gibt es ihn nur bei direkter Anbindung an Anthropic und eingeschalteter Telemetrie.

Die Dokumentation benennt die Risiken ausdrücklich. Ein Mod kann Dateien lesen und schreiben, Prozesse starten, Umgebungsvariablen samt API-Schlüssel auslesen, jeden Prompt mitlesen und Werkzeugaufrufe freigeben, bevor der Nutzer gefragt wird – auch solche, für die eine eigene Regel eine Nachfrage vorsieht. Die Sandbox isoliert nur die Shell-Befehle des Modells; von einem Mod gestartete Prozesse laufen außerhalb. Nur die Freigabeabfrage selbst kann ein Mod nicht umgestalten.

Vor der Installation zeigt der Befehl „claude plugin validate“, welche Ereignisse ein Mod abfängt und welche Zugriffe er anfordert. Abschalten lassen sich Mods einzeln in der Plugin-Verwaltung, für eine Sitzung im Sicherheitsmodus oder dauerhaft per Einstellung; Organisationen können über verwaltete Einstellungen nur eigene Mods zulassen. Die Umgebungsvariable aus der Vorabphase ignoriert Claude Code seit 2.1.287 – wer Mods damit abgeschaltet hatte, muss einen der neuen Wege nutzen.