Der Auto-Modus von Claude Code ist praktisch und unheimlich zugleich. Praktisch, weil er Befehle ausführt, ohne bei jedem Schritt nachzufragen. Unheimlich, weil genau das im falschen Moment teuer wird. Anthropic hat nun eine neue Sicherheitsregel eingezogen, die eine ganz bestimmte Klasse von Aktionen aus der Automatik herausnimmt.
WAS DIE NEUE REGEL BREMST
Die Regel hört auf den Namen Containment Escape — sinngemäß „Ausbruch aus der Umzäunung“. Drei Dinge werden im Auto-Modus nicht mehr automatisch genehmigt:
- Abrufe von Zugangsdaten aus Cloud-Metadaten. In AWS, Azure und Google Cloud gibt es eine interne Adresse, über die eine laufende Maschine ihre eigenen Zugangsdaten abfragen kann. Wer da drankommt, kommt oft an sehr viel mehr.
- Umgehen von Netzwerk-Ausgangssperren. Also Versuche, an eingerichteten Egress-Kontrollen vorbei nach draußen zu kommunizieren.
- Zugriffe über Mandantengrenzen hinweg. Wenn also ein Vorgang aus seinem eigenen Bereich in einen fremden greift.
Diese Aktionen sind nicht verboten. Sie brauchen jetzt nur wieder eine ausdrückliche Genehmigung — es sei denn, die Umgebung ist so konfiguriert, dass genau das als erwartet hinterlegt wurde.
DAZU: EINE RÜCKFRAGE BEIM ERSTEN AUSFLUG
Ergänzend gibt es eine einmalige Nachfrage, wenn der Auto-Modus zum ersten Mal eine Datei außerhalb der Arbeitsverzeichnisse lesen will. Das ist eine kleine Änderung mit großer Wirkung: Der klassische Weg, auf dem ein untergeschobener Auftrag an Geheimnisse kommt, führt fast immer über Dateien, die gar nicht zum Projekt gehören — die SSH-Schlüssel im Benutzerverzeichnis etwa oder die Cloud-Konfiguration daneben.
WARUM DAS GERADE JETZT KOMMT
Der Hintergrund ist ein Problem, das die gesamte Branche beschäftigt: eingeschleuste Anweisungen. Ein KI-Werkzeug liest Inhalte — eine Webseite, ein Ticket, eine README — und in diesen Inhalten stehen Befehle, die eigentlich nie vom Nutzer kamen. Wenn ein Agent solche Anweisungen ausführt und volle Handlungsfreiheit hat, ist der Schaden schnell groß.
Die neue Regel greift genau an der Stelle, an der es wirklich weh täte: Zugangsdaten und Netzwerkgrenzen. Sie verhindert keinen einzigen Angriff im Vorfeld — aber sie sorgt dafür, dass der letzte, entscheidende Schritt ohne einen Menschen nicht passiert.
NEU DAZU: MCP-SERVER FÜR ALLE AUF EINEN SCHLAG
Im gleichen Zug hat Anthropic die Einstellung managedMcpServers eingeführt. Damit kann eine Organisation ihren Nutzern HTTP- und SSE-basierte MCP-Server zentral bereitstellen, statt jeden einzeln konfigurieren zu lassen.
Für Teams ist das eine echte Erleichterung — und sicherheitstechnisch auch ein Gewinn: Wer die Liste der zugelassenen Server zentral pflegt, verhindert, dass sich irgendwo eine selbst zusammengesuchte Verbindung einschleicht.
WAS DU TUN SOLLTEST
Nicht viel, aber etwas: Aktualisiere Claude Code und rechne danach mit ein paar zusätzlichen Rückfragen. Wenn dein Aufbau legitim Cloud-Metadaten abfragt — in CI-Pipelines etwa — hinterlege das in der Umgebung, sonst stolperst du bei jedem Lauf darüber. Und wenn du bisher gedacht hast, der Auto-Modus sei ein Freibrief: Er war es nie, und jetzt ist er es noch etwas weniger.