Agenten-Freigaben in Stufen: Warum zu viele Rückfragen unsicherer machen

Am 23. Oktober 2026 hat Anthropic beschrieben, wie der Agent Claude Duet mit Freigaben umgeht. Darin steht ein Satz, der für jeden gilt, der Agenten im Betrieb einsetzt: Freigabe-Ermüdung sei ein ernstes Problem, weil zu viele Anfragen Menschen dazu bringen, sie durchzuklicken. Duet selbst ist ein Produkt für US-Abonnenten. Die Frage dahinter betrifft jede Umgebung, in der ein Agent etwas ändern darf, auch unsere.

Dieser Beitrag trennt zwei Dinge. Belegt ist, was Anthropic und ein arXiv-Preprint schreiben. Aus unserem eigenen Betrieb beschreiben wir nur, was in unseren Konfigurationen und Betriebsnotizen steht. Eine eigene Messung der Freigabequote haben wir nicht, sie steht deshalb unten als offener Punkt.

Auf einen Blick

Freigabe-Ermüdung ist für Anthropic ein ernstes Problem, und Duet sperrt bestimmte Aktionen selbst mit Freigabe. Ein Preprint zeigt im Modell, dass mehr menschliche Prüfung die Sicherheit senken kann. Wir teilen Agentenaktionen in vier Stufen: ohne Rückfrage, mit dauerhafter enger Erlaubnis, mit Freigabe je Vorgang und nie. Wie oft bei uns tatsächlich durchgeklickt wird, haben wir nicht gemessen.

Eine Freigabestufe legt fest, welche Aktionen eines Agenten ohne Rückfrage laufen, welche eine menschliche Bestätigung brauchen und welche gar nicht laufen, auch nicht mit Bestätigung. Ziel ist, dass Bestätigungen selten genug bleiben, um gelesen zu werden. Die Stufe ist eine Entscheidung, die vorher jemand getroffen und aufgeschrieben hat.

Was Anthropic zu Freigaben schreibt

Der Sicherheitspost zu Duet vom 23. Oktober beschreibt vier Dinge, die für unser Thema zählen.

• Vor einer sensiblen Nachricht, einer Zahlung oder einer Löschung zeigt Duet die Aktion, das Ziel und den Inhalt samt allen Empfängern und wartet auf die Bestätigung.
• Parallel läuft eine automatische Prüfung, gebaut auf dem Auto-Mode-Klassifikator aus Claude Code. Sie läuft außerhalb des Modells, das die Arbeit macht, damit versteckte Anweisungen auf einer Seite sie nicht beeinflussen.
• Manche Aktionen bleiben auch mit Freigabe gesperrt: Wertpapierhandel, Kontobewegungen wie Überweisungen zwischen Konten und der Zugriff auf das Konto einer anderen Person.
• Für Zahlungen, Geldversand, das Löschen einer Bestellung und das Anlegen eines Kontos gilt keine Regel „nicht mehr fragen“, egal wie oft zuvor bestätigt wurde.

Zur Verfügbarkeit nennt die Ankündigung vom 21. Oktober eine Research Preview per Warteliste, die in den USA mit Pro-, Max- und Ultra-Abonnenten beginnt. Wer Pro und Max zitiert, lässt Ultra weg.

Der Engineering-Post zu Auto Mode vom 25. März 2026 liefert die Stufenlogik dazu. Stufe 1 ist eine Liste lesender Werkzeuge plus eigene Erlaubnisregeln. Stufe 2 sind Dateischreibzugriffe im Projektordner ohne Klassifikator. In Stufe 3 prüft ein Klassifikator alles andere, darunter Shell-Befehle und Abrufe aus dem Netz. Standardmäßig blockiert er unter anderem Produktions-Deploys, das Einrichten dauerhafter Zugänge wie Cronjobs und Änderungen an der eigenen Rechtekonfiguration. Dort steht auch die Zahl, auf die sich viele Berichte stützen: Nutzer akzeptierten 93 Prozent der manuellen Rückfragen ohnehin. Wie Anthropic das gemessen hat, schreibt der Post nicht.

Was ein Preprint dazu rechnet

Emre Turan hat am 8. Juni 2026 auf arXiv ein Preprint veröffentlicht, ohne angegebene Fachzeitschrift oder Konferenz. Er wertet 125 von Hand bewertete Agentenaktionen aus. Die Prüfer waren sich nur mäßig einig, was riskant ist (Fleiss' Kappa 0,52). Es gibt also keine eindeutige Wahrheit darüber, welche Aktion eine Rückfrage verdient.

Das zweite Ergebnis ist ein Modell. Wächst die Ermüdung des Prüfers mit der Zahl der Rückfragen, verläuft die erreichte Sicherheit als umgekehrtes U über der Eskalationsrate. Mehr menschliche Aufsicht kann das System unsicherer machen, und die sicherste Einstellung eskaliert nicht alles. Der Autor beschreibt das selbst als Modellergebnis, das eine Studie mit echten Prüfern motivieren soll. Außerdem beschreibt die Arbeit einen Überflutungsangriff: Wer den Prüfer mit Anfragen überflutet, kann eine schädliche Aktion durchschieben. Auch das ist ein Modellergebnis, das eine Studie mit Menschen motivieren soll.

Wie wir Aktionen stufen

Die folgende Tabelle gibt Regeln wieder, keine Messwerte. Sie stammen aus den Betriebsnotizen und der Konfiguration der Arbeitsplätze, Stand 5. November 2026, und die genannten Notizen tragen jeweils ihr eigenes Datum.

Drei Beobachtungen aus diesen Notizen sind für den Rest des Beitrags wichtig.

Eine Freigabe überträgt sich nicht. Am 20. August 2026 ist ein Host zweimal in ein laufendes Setup hinein neu gestartet worden. Eine ausdrücklich ausgenommene Maschine galt danach als freigegeben, weil eine spätere Aufzählung sie nannte. Aufgehoben hatte die Ausnahme niemand. Seitdem gilt, dass eine Freigabe weder auf andere Hosts noch auf spätere Vorgänge am selben Host übergeht und dass ein Ausnahmewunsch ausdrücklich aufgehoben werden muss. Damit ist es die Gegenseite zu „nicht mehr fragen“: Erlaubnisse bleiben so klein, dass sie nicht schleichend wachsen.

Die Rechte des Agenten ändert der Mensch. Der Klassifikator hat bei uns einen Produktions-Deploy, einen neuen systemd-Timer und das Schreiben der eigenen Einstellungen abgelehnt. Das sind drei der Kategorien, die Anthropic als Standard-Block beschreibt. Die Lösung war ein enger Eintrag in der Auto-Mode-Konfiguration, den der Nutzer selbst setzt. Bei einer Ablehnung gilt nach unserer Notiz: nicht umgehen, nicht aufteilen, das Ergebnis vorbereiten und sagen, was fehlt.

Die Klick-Hürde sitzt nicht überall. Die Konfiguration enthält zusätzlich einen pauschalen Eintrag, dass SSH-Befehle auf dem Arbeitsplatz nicht nachfragen. Dort liegt die Grenze in der Zonenregel und nicht im Dialog. Die Entscheidung dazu fiel bewusst am 4. September 2026, und hier sind unsere Stufen am dünnsten.

Gemessen haben wir immerhin die Größe der Konfiguration: Die gespiegelte Einstellungsdatei der Arbeitsplätze enthält sieben Auto-Mode-Erlaubnisse (davon einer ein Verweis auf die Standardwerte) und drei weiche Sperren. Die lokale Datei listet zwei zusätzliche Erlaubnisregeln.

Gemessen wurde mit einem lesenden Python-Aufruf, der die JSON-Dateien zählt. Das sind eigene Zahlen, keine Herstellerangaben. Sie sagen etwas über den Umfang der Regeln, nichts über die Häufigkeit der Rückfragen.

Wo bei uns Ermüdung und Rückfrage-Kosten sichtbar werden

Aus den Notizen lassen sich zwei Fehlerrichtungen belegen, beide ohne Zahl.

Am 2. November 2026 wurde ein Test über Nacht erbeten, und der Agent fragte zurück, statt den unkritischen Teil sofort zu starten. Die Nacht ging verloren. Die daraus abgeleitete Regel: Den Teil ohne Veränderung sofort starten, nur zu den Schritten hinter einer echten Freigabe fragen, und diese Schritte in derselben Nachricht nennen.

Die andere Richtung hat die Notiz vom 12. August 2026. Drei Eskalationen an einem Tag, von denen zwei keine waren, kosteten Zeit und in einem Fall eine Aussage, die in mehrere Dokumente geschrieben und wieder zurückgenommen werden musste. Seitdem gilt die Prüfreihenfolge: Hängt eine getroffene Aussage daran, hat der Verdacht eine Signatur, kann es der Fachbereich in einem Satz erklären.

Beides sind Einzelfälle. Sie zeigen, dass Rückfragen Kosten haben und dass bei uns niemand die Quote zählt.

Noch zu messen: Freigabequote und Antwortzeit

Für Claude Code insgesamt nennt Anthropic 93 Prozent. Für unseren Betrieb gibt es keine Zahl, und wir tragen keine nach.

Methode für die Messung, noch nicht durchgeführt: Über 14 Arbeitstage jede Berechtigungsanfrage des Agenten am Arbeitsplatz mit Zeitstempel, Werkzeug, Entscheidung und Sekunden bis zur Antwort in eine Logdatei schreiben. Das geht über die Hook-Ereignisse von Claude Code. Ob diese Ereignisse die Entscheidung vollständig abbilden, gehört zur Vorarbeit und ist nicht geprüft. Ausgewertet wird je Werkzeugklasse, also lesend, Dateischreiben, Shell, SSH. Die Antwortzeit ist der interessantere Wert als die Quote: Sehr kurze Antwortzeiten wären ein Hinweis darauf, dass Anfragen nicht gelesen werden. Das ist eine Annahme von uns, die die Messung erst prüfen müsste.

Auswertung ehrlich dazu: Auto-Mode-Entscheidungen erscheinen nicht als Anfrage und fehlen in der Zählung. Die Quote wäre also nicht mit Anthropics Zahl vergleichbar, und das schreiben wir dann dazu.

Belegt und offen

Belegt, mit Primärquelle:

• Duet ist eine Research Preview, per Warteliste, zunächst US-Pro-, Max- und Ultra-Abonnenten (Anthropic, 21. Oktober 2026).
• Freigaben zeigen Aktion, Ziel und Inhalt. Die Prüfung läuft außerhalb des Modells. Einige Aktionen bleiben auch mit Freigabe gesperrt, andere sind von „nicht mehr fragen“ ausgenommen (Anthropic, 23. Oktober 2026).
• Anthropic nennt Freigabe-Ermüdung ein ernstes Problem und will die Häufigkeit der Anfragen weiter anpassen (derselbe Post).
• In Claude Code werden 93 Prozent der manuellen Rückfragen akzeptiert, ohne Angabe zur Messung (Anthropic, 25. März 2026).
• 125 Aktionen, mäßige Prüfer-Einigkeit, umgekehrtes U im Modell (Turan, arXiv 2606.08919, Preprint).

Offen:

• Der Sicherheitspost nennt keine Zahl, wie viele Rückfragen Duet stellt oder wie oft sie bestätigt werden.
• Das umgekehrte U ist ein Modell. Ein Versuch mit echten Prüfern fehlt nach Aussage des Autors.
• Wie oft bei uns durchgeklickt wird, ist nicht gemessen.
• Ob unsere Stufe 4 vollständig ist, haben wir nicht geprüft.

In zehn Minuten prüfen

1. Schreiben Sie auf, welche Identitäten bei Ihnen Agenten nutzen (Entwicklerkonto, Dienstkonto, Chat-Agent).
2. Legen Sie drei Listen an: läuft ohne Rückfrage, braucht Bestätigung, läuft nie.
3. Streichen Sie aus der Liste „Bestätigung“ alles, was nur liest oder sich selbst rückgängig macht. Es gehört in die erste Liste.
4. Prüfen Sie bei jeder Dauererlaubnis, ob sie Host, Vorgang und Datum nennt. Fehlt eine der drei Angaben, ist die Erlaubnis zu weit gefasst.
5. Nehmen Sie alles, was Geld bewegt, ein Konto anlegt oder etwas unwiderruflich löscht, in die dritte Liste, auch wenn der Agent es bisher nie versucht hat.

Wie sich solche Listen in einer größeren Umgebung mit Rechten und Protokoll verbinden, steht im Beitrag zu Claude Mods und ihren Rechten. Das Thema bündeln wir im Hub KI im Betrieb. Wenn Sie so ein Stufenmodell für eigene Agenten aufsetzen wollen, finden Sie unser Angebot unter Corporate LLM.

Quellen zuletzt geprüft: 5. November 2026.

Weiterführende Quellen

• Anthropic: Claude Duet Safety, Privacy, and Security (23. Oktober 2026)
• Anthropic: Introducing Claude Duet (21. Oktober 2026)
• Anthropic Engineering: How we built Claude Code auto mode
• Turan: Oversight Has a Capacity, arXiv 2606.08919