Anthropic, ein Unternehmen, das in den letzten Jahren das Image aufgebaut hat, KI-Sicherheit an oberste Stelle zu stellen, hat in der aktuellen Version Claude Code v2.1.311 ein Tool eingeführt, mit dem Entwickler verbleibende Sicherheitsmechanismen praktisch abschalten können. Die Rede ist von einer neuen Umgebungsvariable CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS, die bei Zuweisung des Wertes „1“ dem KI-Agenten erlaubt, Dateilöschbefehle ohne Bestätigungsanfrage beim Benutzer auszuführen. Die Neuerung wurde von der Anthropic-Technikspezialistin Daisy Hollman öffentlich gemacht, und den Reaktionen im sozialen Netzwerk X nach zu urteilen, wurde ihre Aussage zunächst als Scherz aufgenommen — sie musste öffentlich betonen, dass die Funktion real ist.
Wie das Berechtigungssystem in Claude Code funktioniert
Um das Ausmaß der Änderung zu verstehen, muss man die in Claude Code verankerte Berechtigungsarchitektur betrachten. Das Tool unterstützt mehrere Modi: default, acceptEdits, plan, auto, dontAsk und bypassPermissions. Das Befehlszeilen-Flag --dangerously-skip-permissions, das den Modus bypassPermissions aktiviert, erschien bereits in Version v1.0.18 vom 9. Juni 2025. Seit August ist standardmäßig der Modus auto eingestellt, der zwar formal alle Aktionen erlaubt, dabei jedoch im Hintergrund Sicherheitsprüfungen durchführt. Der Modus bypassPermissions erlaubt ebenfalls formal alles, allerdings ohne Hintergrundprüfungen — er behält jedoch Ausnahmen bei, die nicht automatisch genehmigt werden und eine ausdrückliche Bestätigung erfordern: insbesondere die Ausführung von rm- und rmdir-Befehlen.
Was genau die neue Variable aufhebt
Die neue Umgebungsvariable CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS entfernt auch diese allerletzte Einschränkung, die im Modus bypassPermissions übrig geblieben war. Laut Hollman hebt das bestehende Flag --dangerously-skip-permissions die Sicherheitsmechanismen zwar weitgehend auf, erlaubt jedoch nicht absolut alles — zum Beispiel das unbestätigte Ausführen des Befehls rm -rf ~, der den gesamten Inhalt des Linux-Home-Verzeichnisses des Benutzers löscht. Genau diese „letzte Hürde“ beseitigt das neue Mittel. Gleichzeitig merkt Hollman an, dass andere Mechanismen wie benutzerdefinierte Einstellungen weiterhin eigene Einschränkungen auferlegen können, weshalb eine vollständige „Handlungsfreiheit“ des Agenten nicht automatisch garantiert ist.
Kontext: Sicherheitsimage und reale Risiken
Das Auftauchen eines solchen Tools wirkt paradox vor dem Hintergrund der öffentlichen Position von Anthropic, die traditionell laute Erklärungen zur Sicherheit von Modellen künstlicher Intelligenz abgibt. Die praktische Bedeutung der Funktion wird dadurch unterstrichen, dass aus offenen Quellen zahlreiche Fälle bekannt sind, in denen KI-Agenten Befehle wie rm -rf ~ ausgeführt haben, was zur vollständigen Löschung von Festplattendaten und anderen schwerwiegenden Folgen für Benutzer führte. Somit stellt das Unternehmen Entwicklern faktisch ein Tool zur Verfügung, das in einem einzigen Schritt den Schutz vor dem destruktivsten Arbeitsszenario eines autonomen Agenten deaktivieren kann.
Reaktion der Community
Nicht alle Benutzer auf dem sozialen Netzwerk X nahmen Hollmans Aussage ernst, und sie musste öffentlich darauf bestehen, dass sie nicht scherzte. Allein die Tatsache, dass die Funktion von einer Mitarbeiterin des Unternehmens angekündigt wurde und eine Bestätigung erfordert, spricht für ihre Realität in der aktuellen Version v2.1.311. Für Entwickler, die mit Claude Code in automatisierten Pipelines arbeiten, bedeutet dies ein neues Maß an Kontrolle — und neue Verantwortung: Nun liegt die Entscheidung, ob der Agent Dateien ohne Bestätigung löschen darf, gänzlich beim Benutzer, der die entsprechende Umgebungsvariable setzt.
