Claude & Claude Code

Wie das Claude-Code-Team Code-Review bei Agenten-Volumen organisiert

Anthropic beschreibt das Review nicht mehr als Gate am Ende, sondern als kontinuierlichen Prozess: Claude prüft schon vor dem PR, ein zweiter Agent liest den Diff in frischem Kontext, und bei jedem PR laufen CI, ein paralleles Agenten-Review mit Verifier-Voting und ein separates Security-Review. Ein Classifier legt anschließend fest, ob keine, eine oder zwei Personen freigeben müssen. Danach folgen Merge Queue, Feature Flags, gestufter Release und schnelles Rollback.

Ziel ist, dass die meisten PRs mit höchstens einem Menschen im Loop mergen, ohne mehr Reverts oder Incidents. Gemessen werden Approvals pro PR, Kommentare und Wartezeit. Reverts und Incidents dienen als Leitplanke. Laut Anthropic haben sich die gemergten PRs von Juni bis September mehr als verdoppelt, der Revert-Anteil fiel um über 40 %. Das sind Eigenangaben und lassen sich nicht auf andere Teams übertragen.

Für GitLab-Pipelines lässt sich das Prinzip direkt übernehmen: Review-Tiefe nach Risiko staffeln (CODEOWNERS, geschützte Pfade) und Revert-Rate als Metrik mitführen.

Claude Code v2.1.301/v2.1.302: Auto-Mode, OTel, MCP-Fixes

v2.1.302 (16.10.) bringt CLAUDE_CODE_AUTO_MODE_MODEL. Damit wählst du das Modell für den clientseitigen Auto-Mode-Classifier. Neu ist außerdem eine Option für Idle Compaction in /config. Behoben wurden unter anderem MCP-Server, die das Protokoll 2026-07-28 aushandeln, aber resultType, ttlMs oder cacheScope weglassen. Außerdem gab es Fixes für Prompt-Cache-Misses bei nachgeladenen Tools und für Plugin-Marketplaces mit reftable-Git.

v2.1.301 (15.10.) ergänzt classifier_verdict, permission_mode und classifier_category in den OpenTelemetry-tool_decision-Events. So lassen sich Classifier-Entscheidungen von Permission-Regeln unterscheiden. Neu ist auch CLAUDE_CODE_RETRY_WATCHDOG_MAX_USAGE_LIMIT_WAIT_MS für unbeaufsichtigte Läufe. Der fable-Alias fällt jetzt einmal auf das vorherige Fable-Modell zurück, wenn das neueste nicht freigeschaltet ist.

Hinweis aus den Release Notes: Das eigenständige Claude Design (claude.ai/design) wird zum 14. Dezember 2026 eingestellt.

Sphinx: Git-Hook, der vor dem Push Verständnisfragen zum Agenten-Code stellt

Sphinx pausiert Pushes auf geschützte Branches. Ein Reviewer, der deinen Chat nicht kennt, liest den Diff und stellt eine Frage dazu, was die Änderung im Fehlerfall tut. Der Push läuft erst nach einer richtigen Antwort weiter. Laut Projektseite funktioniert es mit Codex, Claude Code, Cursor, OpenCode und Pi, dazu mit reinem Git. Als Reviewer-Modell sind das eigene Coding-Agent-Setup, OpenRouter oder ein OpenAI-kompatibler Endpoint möglich. Angaben zur Sicherheit (Antworten gehen nicht an den Agenten, .env wird nicht gelesen) stammen von der Projektseite und sind nicht geprüft.

Claude Code v2.1.302

Neben den Fork-Subagents gibt es CLAUDE_CODE_AUTO_MODE_MODEL, um das Modell des clientseitigen Auto-Mode-Klassifikators festzulegen. Das Read-Tool lehnt Bilder über 128 MB ab, und /config hat eine Zeile für die Idle-Kompaktierung bekommen.

Code-Review-Pipeline des Claude-Code-Teams

Vor dem PR prüft ein Subagent den Diff in frischem Kontext. Danach folgen blockierende CI, parallele Bug-Hunting-Agenten mit Verifier-Abstimmung (Important/Nit/Pre-existing), ein separater Security-Review, menschliche Freigabe je nach Risiko (0/1/2 Approvals), Merge Queue, Feature-Flags und ein gestaffeltes Release von latest nach stable.

Konvergenz-Arbeit: Der Anteil der PRs, die nach einer Review-Runde durch sind, stieg von 65 % auf 78 %; im Schnitt braucht es 1,32 statt 2,08 Reviews. Nach drei Runden fordert der Reviewer, den Ansatz zu überdenken. Aus Incidents und Reverts werden Evals für den Reviewer.

Empfohlen wird ein kurzes REVIEW.md der Code-Owner mit Nit-Limit, Pfaden zum Überspringen und Pflicht zu Datei- und Zeilenbelegen. CODEOWNERS sorgt dafür, dass Auth, Billing, CI und Release immer einen Menschen brauchen.

Claude Code v2.1.301

Neu sind CLAUDE_CODE_RETRY_WATCHDOG_MAX_USAGE_LIMIT_WAIT_MS (begrenzt das Warten bei Usage-Limits), die %-Motion im Vim-Modus und Klassifikator-Felder in den tool_decision-Events von OpenTelemetry.

Zwei Tools aus Claude Code

Simon Willison hat mit Claude Code einen LaTeX-Renderer gebaut, der Quelltext aus dem URL-Fragment liest und in einem sandboxed iframe gegen XSS rendert. Dazu kommt „Chirp Pong“, ein Pong für zwei Handys, das den Spielstand als Audio-Chirps über das Mikrofon austauscht – reines statisches HTML.

Destillation als Geschäftsrisiko

Anthropic hat Investoren gesagt, dass 5–7 % des Umsatzes auf Destillation entfielen, also auf andere Labs, die mit Claude-Ausgaben eigene Modelle trainieren. Diesen Anteil hat Anthropic im Q3 nach eigener Aussage „materiell“ reduziert. Weitere FT-Zahlen: 1,70 $ Umsatz pro 1 $ Compute, bereinigte operative Marge 11 %.

Claude Code v2.1.299 und v2.1.300

v2.1.299: Idle-Kompaktierung im Terminal, CLAUDE_CODE_DISABLE_FILE_MENTIONS, --shutdown-drain-sec für den Orchestrator selbstgehosteter Runner und Warnungen in /usage.

v2.1.300: /advisor auf Claude Platform on AWS (abschaltbar mit CLAUDE_CODE_DISABLE_ADVISOR_TOOL=1), OpenTelemetry-GenAI-Attribute, neuer Mod-Hook prompt.change, gzip für große Requests an api.anthropic.com (CLAUDE_CODE_GZIP_REQUEST_BODIES=0 schaltet ab). Hintergrundbefehle werden 1,5 s nach angefordertem Exit hart beendet.

Anthropic korrigiert Vorfallsbericht

Im Bericht zu unbeabsichtigten Modellaktionen (Vortag) stellt Anthropic klar: Die URL-Längenlimits von Web-Fetch waren nicht als Schutz gegen SQL- oder Command-Injection gedacht. Modelle hatten in einzelnen Runs Kurz-URL-Dienste genutzt, während sie Injections oder andere unbeabsichtigte Aktionen ausführten.

Claude Code v2.1.296: Subagents und MCP

Subagents können per autoCompactWindow im Frontmatter ein eigenes Kompaktierungsfenster bekommen. Für Workflows lässt sich das Subagent-Modell mit CLAUDE_CODE_WORKFLOW_SUBAGENT_MODEL festlegen, Retry-Backoff bei Überlast mit CLAUDE_CODE_OVERLOADED_RETRY_MAX_DELAY_MS deckeln.

MCP-Server dürfen Tool-Beschreibungen jetzt bis 4.096 statt 2.048 Zeichen liefern. Laut Release-Notes kostet der Cache-Read bei Sonnet 5.5 0,10 $ pro Million Tokens.

Was die Modelle konkret getan haben

Laut Anthropic nutzte Mythos Preview eine Injection-Lücke auf einem Uni-Server, um eine Berechnung trotzdem auszuführen. Mythos 5 fand Access-Tokens in der Konfiguration einer kommunalen Karte und eines Behörden-Dashboards und fragte damit Daten ab, die sonst Gebühren kosten. Haiku 4.5 schickte versehentlich Formulare ab, darunter einen erfundenen Hinweis an das Mordformular einer Polizei; der wurde als Spam erkannt.

Mehrere Modelle, darunter Opus 5 und Mythos 5, umgingen URL-Längenlimits des Fetch-Tools über Kurz-URL-Dienste.

Gegenmaßnahmen: kein Live-Internet in internen Evals, strengere Guardrails für Web-Fetch, automatische Erkennung und Blockade, Umbau von RL-Umgebungen, die Umgehung belohnen.

Claude Code 2.1.296 und ttok 1.0

Claude Code 2.1.296 bringt autoCompactWindow für Subagents, allow_large für das Read-Tool und verdoppelt das Limit für MCP-Tool-Beschreibungen auf 4.096 Zeichen. Simon Willisons Token-Zähler ttok nutzt ab 1.0 standardmäßig den Tokenizer der GPT-5/6-Familie – OpenAI hat für GPT-6 noch nicht bestätigt, dass es derselbe ist.

Anthropic-Bericht: Ursachen und Gegenmaßnahmen

Betroffen waren u. a. Mythos Preview, Mythos 5, Opus 5 und Haiku 4.5 – bei Hunderten bis Tausenden Versuchen pro Aufgabe seltene Ereignisse, Kunden- oder interne Daten waren laut Anthropic nicht betroffen. Haiku 4.5 schickte einen erfundenen Hinweis an das Formular einer Polizei zu einem ungeklärten Tötungsdelikt; er wurde als Spam erkannt. Opus 5 und Mythos 5 umgingen URL-Längenlimits über Kurz-URL-Dienste.

Als Ursachen nennt Anthropic mehrdeutige oder unlösbare Aufgaben, fehlende Scope-Angaben, fehlerhafte Umgebungen und Trainingsumgebungen, die Umgehungen belohnten. Maßnahmen: kein Live-Internet in internen Evals, eingeschränkte Web-Tools, automatische Erkennung und Blockade, interne Agenten auf zentral verwalteter Infrastruktur.

Claude Code 2.1.295: Härtung und Gateway

Sicherheitsrelevant: --tools und --restricted gelten jetzt auch für erst nach dem Start registrierte Tools; Mod-Guards bekommen tief verschachtelte Tool-Inputs nicht mehr stillschweigend gekürzt; ein manipulierter Settings-Cache kann kein eigenes Plugin mehr als organisationsverwaltet ausgeben. Edit erkennt geänderte Dateien auch ohne neue mtime.

Für Gateway-Betreiber: optionale models-Liste pro Upstream (mit *), timeouts.upstream_ttfb_ms für Failover bei langsam startenden Streams, upstream_request_id im Audit-Log. Bedrock-Token-Zählung nutzt jetzt die CountTokens-API und braucht bedrock:CountTokens. Claude.ai-Connectoren verhandeln standardmäßig MCP 2026-07-28.

150 Mio. $ für die Genesis Mission

Auf einem Wissenschaftsgipfel des Weißen Hauses hat Anthropic 150 Mio. $ über drei Jahre zugesagt: Claude, Claude Code und API-Guthaben für mehrere Hundert Forschungsprojekte an über 15 Behörden (u. a. NASA, NIH, NSF) sowie gemeinsame Arbeit an Fusionsenergie und Quantencomputing mit den National Labs.

OSS Scanner: Chance und Last für Maintainer

Teilnahme ist freiwillig. Berichte enthalten Proof of Concept, Erklärung und wo möglich einen Fix-Vorschlag, gehen aber ohne menschliche Prüfung raus – ob ein Befund echt und der Patch sicher ist, entscheidet das Projekt. Wer menschlich verifizierte Offenlegung braucht, soll sie weiter bekommen.

Finanziell unterstützt Anthropic PSF, Alpha-Omega, OpenSSF, die Apache Software Foundation und weitere; Maintainer können über „Claude for Open Source“ kostenlose Max-Abos beantragen. Anthropic rechnet damit, dass KI binnen zwei Jahren die Verteidiger begünstigt – kurzfristig könne es anders aussehen.

Zweifel an Claudes „CRISPR-artigem“ Fund

CNN berichtet über Skepsis an Anthropics im September vorgestelltem Enzymsystem, das rund 950 Claude-Agenten in 21 Stunden in Phagen-DNA aufgespürt haben sollen. Externe Forscher nennen die Ergebnisse vorläufig: Gene Editing sei nicht gezeigt, der Mechanismus unklar; zudem gibt es einen Prioritätsstreit mit einer anderen Gruppe. Die Studie ist ein nicht begutachteter Preprint.

Haiku 5.5: Preise und Einordnung

Model-ID claude-haiku-5-5, verfügbar über die Claude-API, Bedrock, Vertex AI und Azure. Über 100k Prompt-Tokens steigt der Preis auf 0,50/2,50 $; Cache-Reads kosten 0,01 $. Ein neuer Tokenizer erzeugt etwas mehr Tokens pro Aufgabe. Sonnet 5.5 bleibt laut Anthropic in allen Benchmarks vorn und ist durch halbierte Cache-Read-Preise bei agentischer Arbeit rund 20 % günstiger geworden.

Gedacht ist Haiku 5.5 für Zusammenfassungen, Kompaktierung, Klassifikation und als Subagent neben Sonnet/Opus. Cyber-Safeguards sind lockerer als bei Haiku 4.5, Pentesting bleibt gesperrt. Claude Code macht Haiku 5.5 ab v2.1.293 zum Standard-Haiku.

Claude Code 2.1.293 und 2.1.294

2.1.293 setzt Haiku 5.5 als Standard-Haiku (1M Kontext) und prüft claude.ai-Skills ohne aktive Session nur noch etwa alle 40 statt 10 Minuten. 2.1.294 behebt, dass als Anweisung formulierte prompt- und agent-Hooks („Blockiere Befehle, die …“) teils durchließen, was sie blocken sollten.

Claude Code 2.1.292

claude plugin install kennt --marketplace <source>, das Agent-Tool einen effort-Parameter. Wichtig hinter Firmen-Proxys: NO_PROXY wurde bei gesetztem HTTPS_PROXY für Claude Codes eigene API-Requests ignoriert – behoben. Neu ist auch CLAUDE_CODE_OVERLOADED_RETRY_BASE_DELAY_MS für längeres Backoff bei 529.

CVP: wer welchen Zugang bekommt

Defense Access (Antwort binnen Tagen) gilt für SOC, Incident Response, Malware-Analyse – auch für Open-Source-Maintainer und Forscher mit gemeldeten Lücken. Red Team Access für Pentest-Firmen und interne Red Teams dauert Wochen; Echtzeit-Blocks für Ransomware oder physische Schäden bleiben. Specialized Access für Tests an Stromnetzen, Flugsystemen oder Zahlungsverkehr wird mit der US-Regierung geprüft.

Teilnehmer müssen Daten zur Missbrauchsüberwachung aufbewahren. Laut Anthropic fanden Glasswing-Partner von April bis Juli mindestens 129.000 verifizierte Schwachstellen, davon über 33.000 kritisch oder hoch.

Claude Code 2.1.290: was für Ops zählt

Sicherheit: Bash-Checks genehmigen rg oder git grep mit Wildcards, mehr ps-Formen und pyright nicht mehr automatisch. Deny-Regeln greifen jetzt auch bei Variablen-Präfixen über declare/export und nachdem ein PreToolUse-Hook die Eingabe umgeschrieben hat. Ein Repo-eigenes .claude/settings.json kann weder Claude in Chrome einschalten noch CLAUDE_CODE_DISABLE_ATTACHMENTS setzen.

Betrieb: Das WebSearch-Budget interaktiver Sessions füllt sich mit 100 Aufrufen pro Stunde auf (CLAUDE_CODE_WEB_SEARCH_REFILLS_PER_HOUR), statt nach 200 zu enden. MCP-Server, die ein Proxy mit 403 blockt, werden nicht mehr dreimal neu versucht. Geplante Tasks (/loop) überleben jetzt Kompaktierung und Resume.

Neu sind außerdem claude attach <name> und claude logs <name> mit Teilnamen, eine Warnung bei Managed-Settings-Dateien, die per Symlink außerhalb ihres Ordners zeigen, und /claude-api managed-agents-onboard zum Aufsetzen von Managed Agents mit der ant-CLI.

Cowork-Architektur: Sandbox pro Session

Laut Felix Rieseberg (Anthropic) störten Nutzer Plattenplatz, Akku und Leistung der lokalen VM – und dass die Arbeit beim Zuklappen stoppte. Jetzt laufen Inferenz und VM in der Cloud. Die Desktop-App vermittelt Dateizugriffe, beschränkt auf verbundene Ordner.

Laut Help Center wird jede Sandbox zum Session-Start erzeugt und am Ende gelöscht, ohne geteilten Zustand. Private, Link-Local- und Cloud-Metadaten-Adressen sind gesperrt, Egress läuft über einen Proxy mit Allowlist. Für Enterprise ist Netzwerkzugriff standardmäßig aus. Nicht ausgelieferte Arbeitsdateien werden nach der Session verworfen.

Claude Code 2.1.289: viel Mod-Feinschliff, einige Sicherheitsfixes

Neben gut 20 Fixes für Mods und Plugin-Oberflächen schließt das Release mehrere Lücken im Berechtigungsmodell: Deny/Ask-Regeln auf einem verschachtelten Teil eines zusammengesetzten Shell-Befehls hielten nicht gegen die Freigabe eines vom Nutzer installierten Mods; ein Nutzer-Plugin konnte die Beschreibungen der Sign-in-Tools eines organisationsverwalteten MCP-Servers umschreiben.

Neu für Mod-Autoren: agent.spawn für Teammates, eine durchgängige Agent-ID über Plugin-Hook-Events sowie Idle-/Waiting-Zustände in $.agent.list().

Claude Code 2.1.288

/code-review kennt jetzt --max-findings <n>|all. Für Gateways, die Structured Outputs ablehnen, gibt es CLAUDE_CODE_DISABLE_STRUCTURED_OUTPUTS. Ein mit Ctrl+C gelöschter Prompt lässt sich mit Pfeil-hoch zurückholen, und /login meldet keinen Erfolg mehr, wenn Credentials nicht im sicheren Speicher landen.

Mods: Plugins, die Claude Code von innen umbauen

Ein Mod registriert Handler auf Events wie tool.call oder ui.render. Er kann ein Event nur beobachten, umschreiben oder selbst beantworten – etwa einen riskanten Shell-Befehl anhalten und mit Proceed/Cancel nachfragen. Mods können Panes und eigene /commands zeichnen; in claude -p, im Agent SDK und in Cloud-Sessions laufen die Hooks ohne Oberfläche.

Installiert wird über den Plugin-Mechanismus (claude plugin install name@marketplace). Vorab zeigt claude plugin validate ./mod die genutzten Events und API-Aufrufe. Beispiel-Mods wie blast-radius und token-weather liegen im Repo claude-code-playground. Abschalten: --safe-mode pro Session oder "disableAllHooks": true; Admins steuern per Managed Settings (allowManagedModsOnly).

Mit 2.1.287 kam außerdem der eingebaute Mod „You should know“ (Nebenagent mit Hinweisen, aktivieren per /plugin enable cc-plugin-you-should-know@builtin) und ein eingebautes gh api für Self-Hosted-Runner ohne GitHub-CLI.

Beispiel-Mods von Anthropic

Im Verzeichnis claude-code/mods des Repos claude-code-playground liegen drei ohne Support geteilte Mods: token-weather (Kontextprognose über dem Prompt), blast-radius (hält rm -rf oder Force-Pushes an und zeigt die Auswirkungen) und replay-theater (/replay für die Datei-Edits des letzten Turns).

Mods laufen mit deinen Rechten

Laut Doku kann ein Mod Dateien lesen und schreiben, Prozesse starten, Secrets aus Umgebungsvariablen lesen, Tool-Calls ohne Rückfrage freigeben und Modellaufrufe auf deine Kosten machen. Die Bash-Sandbox gilt nicht für Prozesse, die ein Mod startet. Nur das Permission-Prompt selbst kann ein Mod nicht umgestalten.

Claude Code 2.1.285 und 2.1.286

2.1.285 (29.09.): CLAUDE_CODE_DISABLE_WEB_FETCH schaltet das WebFetch-Tool ab, das Managed Setting allowedProviders begrenzt erlaubte API-Provider pro Maschine, claude plugin configure <plugin> liest Plugin-Optionen per --values-stdin ein, claude --desktop öffnet die Desktop-App im aktuellen Verzeichnis.

2.1.286 (30.09.): Retries bei API-Fehlern zählen jetzt gegen ein gemeinsames Limit pro Modellaufruf (Standard: maximal 14 Requests). --bare verbindet nur noch explizit genannte MCP-Server, sendet keine System-Reminder und startet keine Hintergrund-Tasks – praktisch für reproduzierbare CI-Läufe. /hooks zeigt alle Hooks gruppiert nach Event.