Claude Code startet am 14. August den automatischen Modus: Was in seinem Regelwerk steht

Anthropic hat angekündigt, dass Claude Code ab dem 14. August für neue Sitzungen in den Plänen Pro, Max und Team im Automatikmodus starten wird. In diesem Modus bewertet anstelle eines Dialogs, der um Erlaubnis bittet, ein separater Klassifikator jeden Tool-Aufruf. Benutzer, die bereits einen Standardmodus festgelegt haben, erhalten möglicherweise eine einmalige Frage zum Wechseln, aber von Administratoren festgelegte Standardeinstellungen werden nicht geändert. Benutzer von Enterprise, API, Bedrock, Vertex und Foundry bleiben für etwa einen weiteren Monat beim Opt-in. Die Regeln für den Klassifikator werden lokal gespeichert; im Build 2.1.226 gibt der Befehl `claude auto-mode defaults` sie aus. Die Regeln umfassen 17 Allow-, 65 Soft-Deny-, 1 Hard-Deny- und 20 Umgebungseinträge, insgesamt 60.149 Zeichen englischer Prosa. Die einzige Hard-Deny-Regel betrifft die Datenerfassung und ist mit 5.278 Zeichen auch die längste; sie erklärt, auf den eventuellen Empfänger zu achten und dass Base64 die Art der Übertragung nicht ändert. Auf einem sauberen Rechner ist nur ein Drittel des Umgebungsprofils ausgefüllt: Dreizehn Felder sind auf „Nicht konfiguriert“ gesetzt, sodass das einzige vertrauenswürdige Objekt standardmäßig das Repository ist, in dem die Sitzung gestartet wurde, sowie dessen Remote. Benutzer werden gebeten, diese Felder bis zum 14. August auszufüllen: wo die Produktion ist, welche Domänen und Buckets intern sind und wie Geheimnisse verwaltet werden. Der Berechtigungsdialog wird nicht entfernt; der Klassifikator blockiert, was er als irreversibel, destruktiv oder nach außen gerichtet betrachtet. Nach drei aufeinanderfolgenden Blockierungen oder zwanzig in einer Sitzung pausiert der Automatikmodus und Claude Code fragt wieder; die Genehmigung einer Anfrage setzt den Automatikmodus fort. Die Schwellenwerte sind nicht konfigurierbar. Der Automatikmodus deaktiviert auch breite Allow-Regeln wie `python:*`, die es Befehlen ermöglichen würden, den Klassifikator zu umgehen; enge Regeln wie `Bash(git *)` funktionieren wie zuvor, und `permissions.deny` wird zuerst geprüft und ist unabhängig vom Modell.