Auto Mode als nieuwe standaard
Anthropic voert 'auto mode' in als standaardinstelling voor Claude Code (voor Pro-, Max- en Team-gebruikers). Deze beslissing is gebaseerd op onderzoek waaruit blijkt dat gebruikers vaak reflexmatig toestemming geven voor commando's zonder deze echt te controleren; menselijke testers herkenden slechts 13,6% van de gevaarlijke acties, terwijl het model er 89% opmerkte.
Beveiliging en Werking
Auto mode gebruikt een apart classificatiemodel om te bepalen wanneer menselijke tussenkomst noodzakelijk is. Om de veiligheid te verhogen, zijn 'hard denies' geïmplementeerd die data-exfiltratie strikt verbieden. Daarnaast controleert het systeem nu de git-status van repositories voordat destructieve commando's worden uitgevoerd en wordt er gescreend op prompt-injecties.
Prestaties en Extra Functionaliteit
Uit onafhankelijk onderzoek van Trajectory Labs blijkt dat Claude in auto mode beter bestand is tegen prompt-injectieaanvallen dan de systemen van OpenAI. Daarnaast heeft Anthropic een functie toegevoegd waarmee parallelle Claude Code-sessies samenvattingen naar elkaar kunnen sturen, waardoor verschillende sessies effectiever aan gerelateerde problemen kunnen werken.
Auto Mode wordt binnenkort de standaard in Claude Code — omdat mensen niet vertrouwd kunnen worden
In de beginfase van Claude Code leek het alsof je óf alles moest goedkeuren wat de coding agent deed — wat ongelooflijk irritant was — óf hem volledige vrijheid moest geven, wat uiterst gevaarlijk was.
Earlier this year introduceerde Anthropic 'auto mode'. Hierbij wordt een apart classificatiemodel gebruikt waarmee Claude zelf kan bepalen wanneer iets zo gevaarlijk is dat menselijke tussenkomst noodzakelijk is. Vanaf 14 augustus wordt dit de nieuwe standaard voor Pro-, Max- en Team-gebruikers. Voor Enterprise-gebruikers, de Claude API en cloudplatforms blijft het voorlopig een opt-in functie, waarbij een volledige uitrol daar binnen de volgende maand is gepland. De reden voor deze wijziging is dat mensen minder goed presteren wanneer ze constant om toestemming worden gevraagd.
Het probleem van de 97%
Uit eigen onderzoek van Anthropic blijkt dat gebruikers momenteel 97% van de toestemmingsverzoeken goedkeuren. Anthropic merkt op: "Hoewel de meeste prompts waarschijnlijk voor veilige, routineuze commando's zijn, suggereert een zo hoog goedkeuringspercentage dat veel gebruikers reflexmatig klikken in plaats van elk commando te controleren."
Bij tests met meer dan 1.000 testers ontdekte het team dat mensen slechts 13,6% van de gevaarlijke commando's herkenden, terwijl Claude Code in auto mode er 89% opmerkte. Hoe langer de sessies duurden, hoe slechter de menselijke testers presteerden. Na 50 prompts vonden de testers nog maar 5% van de gevaarlijke commando's.
Anthropic stelt dat het zien van minder toestemmingsverzoeken ervoor zorgt dat gebruikers meer tijd besteden aan het daadwerkelijk lezen en evalueren van de prompts die wél verschijnen. In de praktijk blokkeert auto mode een commando wanneer de classifier dit markeert, in plaats van om toestemming te vragen. Claude zoekt vervolgens meestal naar een veiligere manier om dezelfde taak uit te voeren of komt terug bij de gebruiker voor expliciete goedkeuring.
Er is ook een fallback-mechanisme: na drie opeenvolgende blokkeringen, of twintig in één sessie, geeft auto mode de controle terug aan de gebruiker en schakelt het systeem terug naar handmatige goedkeuringen. Anthropic voegt toe dat nu agents vaak over langere perioden werken, auto mode het veel gemakkelijker maakt om deze taken van meerdere uren uit te voeren zonder dat men urenlang enkel als 'bot-oppas' hoeft te fungeren.
Versterking van Auto Mode
Voorafgaand aan deze lancering heeft Anthropic tijd besteed aan het verharden (hardening) van auto mode. De meest significante wijzigingen zijn de 'hard denies'. Volgens Anthropic is de classifier zo ontworpen dat data-exfiltratie, zoals het verzenden van code of geheimen naar een externe bestemming, nooit wordt goedgekeurd. Om een dergelijke actie uit te voeren, moet een ontwikkelaar handmatig uitschakelen uit auto mode of het commando zelf uitvoeren.
Organisaties kunnen daarnaast hun eigen 'hard deny'-regels toevoegen voor acties die nooit zijn toegestaan, zelfs niet als een gebruiker erom vraagt. De classifier bevat nu ook expliciete regels over hoe geheimen en vertrouwelijke gegevens kunnen worden benaderd en gedeeld. Bovendien controleert het systeem of de bestemming van een git push of pull-request openbaar, privé of vertrouwd is voordat de actie wordt uitgevoerd; een push kan immers routineus zijn of juist exfiltratie, afhankelijk van waar deze terechtkomt.
Daarnaast ziet de classifier nu de git-status van een repository voordat destructieve commando's zoals git reset --hard worden uitgevoerd, zodat auto mode weet welk niet-gecommitte werk wordt verwijderd. Een probe aan de API-zijde screent content die Claude ophaalt van webpagina's, bestanden en tool-outputs op pogingen tot prompt-injectie; wanneer er iets verdachts is, wordt er een waarschuwing toegevoegd aan de context van Claude.
Om dit werk te testen, voerde Anthropic een twee weken durende red-teaming pilot uit met Apollo Research, waarbij synthetische aanvallen in echte workflows werden geïnjecteerd. Vóór de versterking miste de classifier 12% van deze aanvallen; daarna daalde dat aantal naar 7% op een testset.
Auto Mode versus prompt-injecties
Anthropic heeft ook een derde partij ingeschakeld om te testen hoe goed auto mode presteert in het voorkomen van prompt-injectieaanvallen, waarbij de resultaten werden vergeleken met die van OpenAI.
Trajectory Labs ontdekte dat bij de modellen van Anthropic in auto mode geen enkele van de 720 geprobeerde aanvallen slaagde. Zelfs wanneer toestemmingen volledig werden omzeild, lieten Claude Sonnet, Fable en Opus 5 slechts 0,09% van de aanvallen door. OpenAI's GPT-5.6 Sol in Codex liet daarentegen 19% van alle aanvallen door in 'full access mode' en net onder de 6% in de 'auto-review mode'.
Toch benadrukt Anthropic dat auto mode een classifier is en geen garantie; het vermindert het risico, maar elimineert het niet. Voor risicovolle wijzigingen aan productie-infrastructuur adviseert het bedrijf om nog steeds een mens in het proces te betrekken.
Bonus: Claude Code-sessies kunnen nu berichten naar elkaar sturen
Naast deze update rondom toestemmingen kondigde Anthropic aan dat parallelle Claude Code-sessies nu met elkaar kunnen communiceren. Dit is vooral nuttig bij meerdere sessies die werken aan gerelateerde problemen en elkaar moeten informeren over wijzigingen in de code.
In plaats van jezelf in een andere sessie opnieuw uit te leggen, kun je Claude nu vragen dit te doen. De tool verzendt een samenvatting (geen geschiedenis of bestanden), waarna de andere sessie de taak midden in het proces kan overnemen.
Auto Mode wordt binnenkort de standaard in Claude Code — omdat mensen niet vertrouwd kunnen worden
In de beginfase van Claude Code leek het alsof je óf alles moest goedkeuren wat de coding agent deed — wat ongelooflijk irritant was — óf hem volledige vrijheid moest geven, wat uiterst gevaarlijk was.
Earlier this year introduceerde Anthropic 'auto mode'. Hierbij wordt een apart classificatiemodel gebruikt waarmee Claude zelf kan bepalen wanneer iets zo gevaarlijk is dat menselijke tussenkomst noodzakelijk is. Vanaf 14 augustus wordt dit de nieuwe standaard voor Pro-, Max- en Team-gebruikers. Voor Enterprise-gebruikers, de Claude API en cloudplatforms blijft het voorlopig een opt-in functie, waarbij een volledige uitrol daar binnen de volgende maand is gepland. De reden voor deze wijziging is dat mensen minder goed presteren wanneer ze constant om toestemming worden gevraagd.
Het probleem van de 97%
Uit eigen onderzoek van Anthropic blijkt dat gebruikers momenteel 97% van de toestemmingsverzoeken goedkeuren. Anthropic merkt op: "Hoewel de meeste prompts waarschijnlijk voor veilige, routineuze commando's zijn, suggereert een zo hoog goedkeuringspercentage dat veel gebruikers reflexmatig klikken in plaats van elk commando te controleren."
Bij tests met meer dan 1.000 testers ontdekte het team dat mensen slechts 13,6% van de gevaarlijke commando's herkenden, terwijl Claude Code in auto mode er 89% opmerkte. Hoe langer de sessies duurden, hoe slechter de menselijke testers presteerden. Na 50 prompts vonden de testers nog maar 5% van de gevaarlijke commando's.
Anthropic stelt dat het zien van minder toestemmingsverzoeken ervoor zorgt dat gebruikers meer tijd besteden aan het daadwerkelijk lezen en evalueren van de prompts die wél verschijnen. In de praktijk blokkeert auto mode een commando wanneer de classifier dit markeert, in plaats van om toestemming te vragen. Claude zoekt vervolgens meestal naar een veiligere manier om dezelfde taak uit te voeren of komt terug bij de gebruiker voor expliciete goedkeuring.
Er is ook een fallback-mechanisme: na drie opeenvolgende blokkeringen, of twintig in één sessie, geeft auto mode de controle terug aan de gebruiker en schakelt het systeem terug naar handmatige goedkeuringen. Anthropic voegt toe dat nu agents vaak over langere perioden werken, auto mode het veel gemakkelijker maakt om deze taken van meerdere uren uit te voeren zonder dat men urenlang enkel als 'bot-oppas' hoeft te fungeren.
Versterking van Auto Mode
Voorafgaand aan deze lancering heeft Anthropic tijd besteed aan het verharden (hardening) van auto mode. De meest significante wijzigingen zijn de 'hard denies'. Volgens Anthropic is de classifier zo ontworpen dat data-exfiltratie, zoals het verzenden van code of geheimen naar een externe bestemming, nooit wordt goedgekeurd. Om een dergelijke actie uit te voeren, moet een ontwikkelaar handmatig uitschakelen uit auto mode of het commando zelf uitvoeren.
Organisaties kunnen daarnaast hun eigen 'hard deny'-regels toevoegen voor acties die nooit zijn toegestaan, zelfs niet als een gebruiker erom vraagt. De classifier bevat nu ook expliciete regels over hoe geheimen en vertrouwelijke gegevens kunnen worden benaderd en gedeeld. Bovendien controleert het systeem of de bestemming van een git push of pull-request openbaar, privé of vertrouwd is voordat de actie wordt uitgevoerd; een push kan immers routineus zijn of juist exfiltratie, afhankelijk van waar deze terechtkomt.
Daarnaast ziet de classifier nu de git-status van een repository voordat destructieve commando's zoals git reset --hard worden uitgevoerd, zodat auto mode weet welk niet-gecommitte werk wordt verwijderd. Een probe aan de API-zijde screent content die Claude ophaalt van webpagina's, bestanden en tool-outputs op pogingen tot prompt-injectie; wanneer er iets verdachts is, wordt er een waarschuwing toegevoegd aan de context van Claude.
Om dit werk te testen, voerde Anthropic een twee weken durende red-teaming pilot uit met Apollo Research, waarbij synthetische aanvallen in echte workflows werden geïnjecteerd. Vóór de versterking miste de classifier 12% van deze aanvallen; daarna daalde dat aantal naar 7% op een testset.
Auto Mode versus prompt-injecties
Anthropic heeft ook een derde partij ingeschakeld om te testen hoe goed auto mode presteert in het voorkomen van prompt-injectieaanvallen, waarbij de resultaten werden vergeleken met die van OpenAI.
Trajectory Labs ontdekte dat bij de modellen van Anthropic in auto mode geen enkele van de 720 geprobeerde aanvallen slaagde. Zelfs wanneer toestemmingen volledig werden omzeild, lieten Claude Sonnet, Fable en Opus 5 slechts 0,09% van de aanvallen door. OpenAI's GPT-5.6 Sol in Codex liet daarentegen 19% van alle aanvallen door in 'full access mode' en net onder de 6% in de 'auto-review mode'.
Toch benadrukt Anthropic dat auto mode een classifier is en geen garantie; het vermindert het risico, maar elimineert het niet. Voor risicovolle wijzigingen aan productie-infrastructuur adviseert het bedrijf om nog steeds een mens in het proces te betrekken.
Bonus: Claude Code-sessies kunnen nu berichten naar elkaar sturen
Naast deze update rondom toestemmingen kondigde Anthropic aan dat parallelle Claude Code-sessies nu met elkaar kunnen communiceren. Dit is vooral nuttig bij meerdere sessies die werken aan gerelateerde problemen en elkaar moeten informeren over wijzigingen in de code.
In plaats van jezelf in een andere sessie opnieuw uit te leggen, kun je Claude nu vragen dit te doen. De tool verzendt een samenvatting (geen geschiedenis of bestanden), waarna de andere sessie de taak midden in het proces kan overnemen.
Groetjes,