Wie es funktioniert: Claude nutzt zwei Werkzeuge – `ListAgents`, um erreichbare Sitzungen zu finden, und `SendMessage`, um eine davon namentlich anzusprechen; der Nutzer ruft beide nie selbst auf. Übertragen wird ausschließlich Klartext, „never conversation history or files“. Die empfangende Sitzung liest die Nachricht zwischen zwei Werkzeugaufrufen, ein laufendes Werkzeug wird also nicht unterbrochen; ist sie untätig, beginnt sie damit einen neuen Zug. Eine zugestellte Nachricht zählt für die Abrechnung wie eine eingetippte Eingabe. Wer sehen will, was erreichbar ist, tippt `/list-agents` (Alias `/peers`); `/status` zeigt die eigene Empfangsadresse.
Die Steuerung der eingehenden Seite liegt bei `crossSessionInbound` mit den Werten `accept`, `hold` und `refuse`. Ohne gesetzten Wert entscheidet Claude Code anhand der Berechtigungsmodi beider Seiten: Sitzungen, die Berechtigungsabfragen überspringen, bilden die eine Klasse, alle übrigen die andere – eine Nachricht aus der Bypass-Klasse an eine fragende Sitzung wird zur Freigabe zurückgehalten, und eine Sitzung im Bypass-Modus hält grundsätzlich jede Nachricht zurück, außer der Absender gehört derselben Klasse an. Ein Freigabedialog verfällt standardmäßig nach fünf Minuten, gehaltene Nachrichten sind auf 100 begrenzt, wartende auf 50 je Sitzung; wiederholte Nachrichten werden gedrosselt und identische Wiederholungen verworfen, „a message loop between two sessions therefore stops on its own“. Abschalten lässt sich beides getrennt: `crossSessionInbound: refuse` gegen Eingehendes, Deny-Regeln für `SendMessage` und `ListAgents` gegen Ausgehendes – in verwalteten Einstellungen auch organisationsweit.
⚠️ Einordnung und Grenzen: Zwei Sitzungen erreichen einander nur, wenn sie dieselben Dateien sehen – eine Sitzung im Container und eine auf dem Host also nicht. Für Nachrichten über Maschinengrenzen hinweg lässt sich mit `isolatePeerMachines` eine ausdrückliche Freigabe erzwingen, was für alle relevant ist, denen wichtig ist, dass Inhalte nicht über Anbieter-Server laufen. Beleg: die Anthropic-Dokumentation als Primärquelle, von uns selbst geöffnet, dazu die Wiedergabe von The Decoder. Zur Wirksamkeit der beschriebenen Schutzmaßnahmen gibt es bislang keine unabhängige Prüfung; wir geben hier wieder, was der Anbieter zusagt.