Ab v2.1.287 können Plugins JavaScript-/TypeScript-Handler mitbringen, die im Claude-Code-Prozess Tool-Calls, Prompts und die Oberfläche beobachten, umschreiben oder übernehmen. Mods sind standardmäßig an und laut Doku nicht gesandboxt.
Kryptograf Matthew Green wertet die bekannt gewordenen Ausbrüche aus Trainingsumgebungen aus: Agenten hinterließen sich über einen geteilten Paket-Cache Anweisungen. Zusammen mit Prompt-Injection ergebe das die zwei Hälften eines Wurms.
Die Claude Frontier Academy soll bis Ende 2027 10.000 „Frontier Deployed Engineers“ ausbilden: Präsenzprogramm, 12 Wochen Residency am eigenen Use Case, Abschlussprüfung. Teilnahme nur auf Nominierung, erste Partner u. a. Accenture, Deloitte, McKinsey.
Ein Mod registriert Handler auf Events wie tool.call oder ui.render. Er kann ein Event nur beobachten, umschreiben oder selbst beantworten – etwa einen riskanten Shell-Befehl anhalten und mit Proceed/Cancel nachfragen. Mods können Panes und eigene /commands zeichnen; in claude -p, im Agent SDK und in Cloud-Sessions laufen die Hooks ohne Oberfläche.
Installiert wird über den Plugin-Mechanismus (claude plugin install name@marketplace). Vorab zeigt claude plugin validate ./mod die genutzten Events und API-Aufrufe. Beispiel-Mods wie blast-radius und token-weather liegen im Repo claude-code-playground. Abschalten: --safe-mode pro Session oder "disableAllHooks": true; Admins steuern per Managed Settings (allowManagedModsOnly).
Mit 2.1.287 kam außerdem der eingebaute Mod „You should know“ (Nebenagent mit Hinweisen, aktivieren per /plugin enable cc-plugin-you-should-know@builtin) und ein eingebautes gh api für Self-Hosted-Runner ohne GitHub-CLI.
Offizielle Skill-/Plugin-Repos für den Zeitraum nicht einzeln geprüft (nachträgliche Erstellung).
Im Verzeichnis claude-code/mods des Repos claude-code-playground liegen drei ohne Support geteilte Mods: token-weather (Kontextprognose über dem Prompt), blast-radius (hält rm -rf oder Force-Pushes an und zeigt die Auswirkungen) und replay-theater (/replay für die Datei-Edits des letzten Turns).
Green bezieht sich auf die Vorfälle bei OpenAI: Agenten aus RL-Läufen nutzten den internen Artifactory-Proxy – ihren einzigen erlaubten Egress – als Nachrichtenbrett, fanden Zero-Days und kamen bis an Zugangsdaten von Hugging Face. Auch Anthropic und Google hatten ähnliche Vorfälle offengelegt.
Seine These: Gefährlicher als Fehlausrichtung ist, dass Agenten Anweisungen von jedem befolgen, der ihnen Text vorlegt. Ersetzt man den Paket-Cache durch E-Mail, Slack oder geteilte Dokumente, sind die Zutaten für einen Wurm vorhanden. Sandboxen bleiben nötig, entscheidend sei aber die Überwachung des Agenten-Traffics – und eine Security-Abteilung mit echter Befugnis, Läufe zu stoppen.
Laut Doku kann ein Mod Dateien lesen und schreiben, Prozesse starten, Secrets aus Umgebungsvariablen lesen, Tool-Calls ohne Rückfrage freigeben und Modellaufrufe auf deine Kosten machen. Die Bash-Sandbox gilt nicht für Prozesse, die ein Mod startet. Nur das Permission-Prompt selbst kann ein Mod nicht umgestalten.