In der Marathon-Anhörung warnten Ex-Mitarbeiter von Anthropic, OpenAI und DeepMind vor einer „Startup-Mentalität“. Anthropics Logan Graham begrüßte „kluge Regulierung“, Speakerin Menin nannte OpenAIs Antwort zum Katastrophenrisiko „bestenfalls flapsig“.
Statt einer VM auf dem eigenen Rechner bekommt jede Cowork-Session eine eigene Cloud-Sandbox; Arbeit läuft bei zugeklapptem Laptop weiter. Lokale Dateien, lokale MCP-Server, Claude in Chrome und Computer Use brauchen weiter die Desktop-App.
Über 200 Einträge: WebFetch verschluckt Text ab 100.000 Zeichen nicht mehr still, sondern nennt den Rest und kennt offset. Dazu viele Fixes an Deny-Regeln, Symlink-Lesezugriffen und Bash-Auto-Approval sowie claude attach/claude logs.
Sicherheit: Bash-Checks genehmigen rg oder git grep mit Wildcards, mehr ps-Formen und pyright nicht mehr automatisch. Deny-Regeln greifen jetzt auch bei Variablen-Präfixen über declare/export und nachdem ein PreToolUse-Hook die Eingabe umgeschrieben hat. Ein Repo-eigenes .claude/settings.json kann weder Claude in Chrome einschalten noch CLAUDE_CODE_DISABLE_ATTACHMENTS setzen.
Betrieb: Das WebSearch-Budget interaktiver Sessions füllt sich mit 100 Aufrufen pro Stunde auf (CLAUDE_CODE_WEB_SEARCH_REFILLS_PER_HOUR), statt nach 200 zu enden. MCP-Server, die ein Proxy mit 403 blockt, werden nicht mehr dreimal neu versucht. Geplante Tasks (/loop) überleben jetzt Kompaktierung und Resume.
Neu sind außerdem claude attach <name> und claude logs <name> mit Teilnamen, eine Warnung bei Managed-Settings-Dateien, die per Symlink außerhalb ihres Ordners zeigen, und /claude-api managed-agents-onboard zum Aufsetzen von Managed Agents mit der ant-CLI.
Laut Felix Rieseberg (Anthropic) störten Nutzer Plattenplatz, Akku und Leistung der lokalen VM – und dass die Arbeit beim Zuklappen stoppte. Jetzt laufen Inferenz und VM in der Cloud. Die Desktop-App vermittelt Dateizugriffe, beschränkt auf verbundene Ordner.
Laut Help Center wird jede Sandbox zum Session-Start erzeugt und am Ende gelöscht, ohne geteilten Zustand. Private, Link-Local- und Cloud-Metadaten-Adressen sind gesperrt, Egress läuft über einen Proxy mit Allowlist. Für Enterprise ist Netzwerkzugriff standardmäßig aus. Nicht ausgelieferte Arbeitsdateien werden nach der Session verworfen.
Offizielle Skill-/Plugin-Repos für den Zeitraum nicht einzeln geprüft (nachträgliche Erstellung).
Der Ex-Anthropic-Forscher Jacob Coxon warnte, ohne Transparenz und Schutzmechanismen könne die Entwicklung außer Kontrolle geraten. Neben ihm sagten laut Berichten Daniel Kokotajlo (ex OpenAI) und Alex Turner (ex DeepMind) aus. OpenAIs Morgan Dwyer erklärte, kein Risikoniveau sei akzeptabel und ohne starke Argumente für menschliche Kontrolle sollten keine Modelle trainiert werden.
Die zehn Gesetzentwürfe – Prüfpflicht mit Abschaltmöglichkeit, Whistleblower-Prämien, Klagerecht, 24-Stunden-Vorfallsmeldung – sind weiter nur Vorschläge; einen Abstimmungstermin gibt es nicht.