Anthropic: Claude Code v2.1.183 blockiert destruktive Git- und Infrastrukturbefehle im Auto-Modus

Anthropic veröffentlichte am 19. Juni 2026 Claude Code v2.1.183 — eine neue Version seines agentischen CLI-Tools für die Programmierung — mit dem Schwerpunkt auf der Sicherheit des sogenannten Auto-Modus, in dem der Agent Befehle ohne individuelle Nutzerbestätigung ausführt. Die Änderung zielt direkt auf das Risiko ab, dass ein autonomer Agent versehentlich eine nicht rückgängig zu machende Operation auslöst.

Was sich im Auto-Modus ändert

In der neuen Version blockiert Claude Code im Auto-Modus destruktive Git-Befehle ohne explizite Nutzeranforderung: git reset --hard, git checkout -- ., git clean -fd und git stash drop. Ebenso blockiert es git commit --amend, wenn der letzte Commit nicht vom Agenten selbst stammt, um die bestehende Historie des Nutzers zu schützen. Die Einschränkung gilt auch für Infrastructure as Code: terraform destroy, pulumi destroy und cdk destroy werden nicht ausgeführt, wenn kein konkreter Stack angegeben ist.

Unterschied zu früheren Versionen

Frühere Versionen des Auto-Modus stützten sich hauptsächlich auf nutzerdefinierte Deny-Listen, sodass die Verantwortung für die Blockierung gefährlicher Befehle beim Nutzer lag. Version v2.1.183 integriert diese Schutzmaßnahmen als Standard (built-in), sodass der Agent irreversible Operationen auch ohne manuelle Konfiguration ablehnt. Hinzugefügt wurden außerdem die Einstellung attribution.sessionUrl und der Befehl /config --help.

Fehlerbehebungen

Neben den Sicherheitsänderungen behebt v2.1.183 mehrere Fehler: Fehler 400 („Extra inputs are not permitted”), der WebSearch in Subagenten zum Absturz brachte, TUI-Schnittstellenkorruption im Windows Terminal sowie MCP-Authentifizierungsleck. Die Änderungen positionieren Claude Code näher am „standardmäßig sicher”-Verhalten für Teams, die den Agenten eigenständig Befehle in Produktions-Repositories ausführen lassen.