SchlüsselarbeitDokumentationerreichbar
Anthropic, Choose a permission mode
code.claude.com (externe Seite)
Die Herstellerdokumentation zu den sechs Rechtemodi und dazu, in welchem eine Sitzung startet. Sie hält mehrere Dinge fest, die anderswo fehlen. Eine Grenze, die im Gespräch gezogen wird, liegt nirgends als Regel: Der Klassifikator liest sie bei jeder Prüfung neu aus dem Verlauf, und mit dem Verdichten kann sie verschwinden. Eine Freigabe in die Gegenrichtung wirkt dagegen nur, wenn die Nachricht die Handlung und das Gefährliche daran konkret benennt; das bloße Nennen des Verbs hebt eine Sperre nicht auf. Beim Wechsel in den Auto-Modus setzt Claude Code die eigenen weiten Freigaberegeln außer Kraft, weil sie an der Prüfung vorbeiführen würden. Dazu die Liste der geschützten Pfade, die keine Freigaberegel öffnet, und die Schwellen, ab denen der Auto-Modus wieder zu fragen anfängt. Seit einer Ergänzung, gesehen am 23.09.2026, trennt die Seite zwei Prüfwege: In den Anfragen, die Claude Code selbst an den Klassifikator schickt, sieht dieser Nutzernachrichten, Werkzeugaufrufe außer reinen Lesevorgängen und die Projektanweisung, die Ergebnisse der Werkzeugaufrufe dagegen nicht. Seit einer weiteren Überarbeitung, gesehen am 27.09.2026, prüft der Server diesen Weg inzwischen auf jedem Tarif mit direkter API-Verbindung (ab Version 2.1.271), nicht nur auf Enterprise- und API-Konten, dazu bei Cloud-Anbietern und hinter einem eigenen LLM-Gateway (ab 2.1.278) und in einer angemeldeten Claude-Apps-Gateway-Sitzung (ab 2.1.280); was der Server dabei zu sehen bekommt, sagt die Seite weiter nicht. Neu benannt sind auch zwei Ausweichfälle: Prüft der Server eine Sitzung gar nicht, fällt Claude Code auf die eigene Klassifikator-Anfrage zurück; kommt für eine einzelne Handlung kein Urteil zurück, verweigert Claude Code sie. Eine Auskunft der Seite steht unter dem aufklappbaren Abschnitt „How the classifier evaluates actions“ und deshalb hier ohne hinterlegtes Zitat: die Reihenfolge, in der eine Handlung geprüft wird. Seit Version 2.1.283 startet eine Sitzung im Terminal und in der VS-Code-Erweiterung in der Voreinstellung im Auto-Modus, ein Lauf mit -p dagegen meist im manuellen Modus. Im Auto-Modus fragt Claude Code weiter bei eigenen ask-Regeln und vor dem Löschen eines kritischen Pfads, im Terminal mit einer Frist von zwei Minuten (Stand 09.10.2026). Als kritisch gilt dabei nur, was Claude Code als solchen Pfad erkennt (gesehen am 22.10.2026). In einer Organisation mit HIPAA-Konfiguration gilt der Auto-Start nicht: Dort beginnt eine Sitzung im Terminal und in VS Code ab Version 2.1.285 im manuellen Modus, solange nichts anderes den Startmodus festlegt (gesehen am 17.10.2026).
geprüft 10.11.2026
Worauf sich diese Seite beruft, wörtlich, abgerufen am 03.09.2026:
Auto mode reduces permission prompts but does not guarantee safety.
bestätigt 10.11.2026Deny rules block in every mode, including bypass
bestätigt 10.11.2026Permissions Allow rules have no effect in bypass
bestätigt 10.11.2026Permissions The classifier treats boundaries you state in the conversation as a block signal.
bestätigt 10.11.2026Claude's own judgment that a condition was met does not lift it.
bestätigt 10.11.2026Boundaries are not stored as rules.
bestätigt 10.11.2026The classifier re-reads them from the transcript on each check, so a boundary can be lost if context compaction removes the message that stated it.
bestätigt 10.11.2026For a hard guarantee, add a deny rule instead.
bestätigt 10.11.2026if the classifier blocks an action 3 times in a row or 20 times total, auto mode pauses and Claude Code resumes prompting.
bestätigt 10.11.2026a non-interactive -p run without a --permission-prompt-tool has no prompt to fall back to.
bestätigt 10.11.2026permissions.allow rules in settings files do not pre-approve protected-path writes.
bestätigt 10.11.2026Only use this mode in isolated environments like containers, VMs, or dev containers without internet access
bestätigt 10.11.2026bypass
bestätigt 10.11.2026Permissions offers no protection against prompt injection or unintended actions. Where the server reviews the actions, its verdicts decide them.
bestätigt 10.11.2026Naming the verb alone clears nothing, so "you can force-push" leaves the block in place.
bestätigt 10.11.2026Plan mode tells Claude to research and propose changes without making them.
bestätigt 10.11.2026Claude reads files, runs shell commands to explore, and writes a plan, but does not edit your source.
bestätigt 10.11.2026Approving a plan exits plan mode and switches the session to the permission mode each approve option describes, so Claude starts editing.
bestätigt 10.11.2026Claude is still instructed to plan without editing, but a file edit or shell command it attempts during planning runs without prompting.
bestätigt 10.11.2026Auto mode lets Claude execute without routine permission prompts.
bestätigt 10.11.2026With Claude Code v2.1.283 or later, auto mode is the built-in starting permission mode for interactive terminal and VS Code sessions.
bestätigt 10.11.2026If the countdown runs out before you answer, Claude Code denies the command and tells Claude what to do instead, so an unattended session keeps working.
bestätigt 10.11.2026A permission mode sets which actions Claude can take in a session without asking you first.
bestätigt 10.11.2026You can also change a running session's permission mode at any time.
bestätigt 10.11.2026Permission modes decide whether Claude asks before an action, and the Bash sandbox and outer isolation boundaries decide what an action can reach once it runs.
bestätigt 10.11.2026on Team and Enterprise, auto mode is available by default.
bestätigt 10.11.2026Older models, including Sonnet 4.5, Opus 4.5, Haiku 4.5, and claude-3 models, are not supported on any provider.
bestätigt 10.11.2026When the flag, a settings file, or the built-in default selects auto but auto mode isn’t available to the session, Claude Code starts the session in Manual instead.
bestätigt 10.11.2026The classifier trusts your working directory and the remotes that were configured for it when the session started.
bestätigt 10.11.2026Sending sensitive data to external endpoints
bestätigt 10.11.2026Printing a live credential or token into the transcript or a file
bestätigt 10.11.2026A non-default branch whose name marks it as a deploy or publication target
bestätigt 10.11.2026Installing dependencies declared in your lock files or manifests
bestätigt 10.11.2026Iterate locally with fewer prompts, without a classifier
bestätigt 10.11.2026Required: a container, VM, or the sandbox runtime
bestätigt 10.11.2026Writes to a small set of paths are never auto-approved, except in bypass
bestätigt 10.11.2026Permissions mode and in interactive terminal sessions in plan mode with bypass permissions available. Yes, and allow Claude to edit files in this project’s .claude folder for this session
bestätigt 10.11.2026the classifier can’t approve protected-path writes
bestätigt 10.11.2026Claude Code doesn’t stop the run.
bestätigt 10.11.2026Pushing to any branch of the repository you’re working in, including the default branch.
bestätigt 10.11.2026edits stay blocked until you approve the plan
bestätigt 10.11.2026approve and review each edit individually
bestätigt 10.11.2026stay in plan mode and tell Claude what to change
bestätigt 10.11.2026Press Ctrl+G to open the proposed plan in your default text editor and edit it directly before Claude proceeds.
bestätigt 10.11.2026Press Shift+Tab again to leave plan mode without approving a plan.
bestätigt 10.11.2026Conversations the VS Code extension starts don’t read project settings for the starting permission mode.
bestätigt 10.11.2026the classifier reviews shell commands other than critical-path removals instead of prompting you
bestätigt 10.11.2026Approved commands run, and rejected ones are blocked.
bestätigt 10.11.2026commands outside the built-in read-only set prompt for approval, including when the sandbox’s auto-allow mode is enabled
bestätigt 10.11.2026Plan mode keeps its blocks wherever Claude Code runs without an interactive terminal
bestätigt 10.11.2026Accepting a plan also gives the session a generated title based on the plan, unless you’ve already named the session.
bestätigt 10.11.2026mode auto-approves common filesystem Bash commands:
bestätigt 10.11.2026Like file edits, auto-approval applies only to paths inside your working directory or
bestätigt 10.11.2026accept
bestätigt 10.11.2026Edits mode lets Claude create and edit files in your working directory without prompting. Routed to the classifier
bestätigt 10.11.2026Downloading and executing code, like curl | bash
bestätigt 10.11.2026Routing a package install around your internal package registry to a public registry.
bestätigt 10.11.2026Writing to a secret manager, or changing DNS records or TLS certificates
bestätigt 10.11.2026Opening a tunnel or reverse shell that makes a local service reachable from the public internet
bestätigt 10.11.2026On Linux and mac
bestätigt 10.11.2026OS, Claude Code refuses to start in bypass Permissions mode when running as root or under sudo The check is skipped automatically inside a recognized sandbox.
bestätigt 10.11.2026Critical paths are the directories Claude Code protects from rm and rmdir commands, such as the filesystem root, your home directory, and your working directory.
bestätigt 10.11.2026Top-level directories, meaning any direct child of the root, such as
bestätigt 10.11.2026The command becomes a removal from the filesystem root when the variable is empty
bestätigt 10.11.2026guard each expansion so the shell stops with an error when the variable is unset or empty
bestätigt 10.11.2026In auto and bypass
bestätigt 10.11.2026Permissions modes, the terminal prompt for a critical-path removal shows a two-minute countdown Irreversibly destroying files that existed before the session
bestätigt 10.11.2026or another shared scratch or cache directory by wildcard, glob, or age filter rather than by a specific named path
bestätigt 10.11.2026To run autonomously in a container, use the dev container configuration, which runs Claude Code as a non-root user.
bestätigt 10.11.2026Claude Code also looks inside these constructs
bestätigt 10.11.2026On earlier versions, it’s the built-in starting permission mode only on Pro, Max, Ultra, and Team plans.
bestätigt 10.11.2026auto-approves common filesystem Bash commands: mkdir, touch, rm, rmdir, mv, cp, and sed
bestätigt 10.11.2026The thresholds of 3 blocks in a row and 20 blocks total are not configurable.
bestätigt 10.11.2026The total counter persists for the session and resets only when its own limit triggers a fallback.
bestätigt 10.11.2026Claude Code doesn’t count a denial toward either threshold when a safety check separate from auto mode refuses the classifier’s own request.
bestätigt 10.11.2026In -p and VS Code extension sessions, asking the server requires Claude Code v2.1.278 or later
bestätigt 10.11.2026In Agent SDK and desktop app sessions, asking the server requires Claude Code v2.1.281 or later
bestätigt 10.11.2026After three of these prompts run out unanswered in a session, Claude Code stops showing them and denies further critical-path removals immediately.
bestätigt 10.11.2026Claude Code doesn’t auto-approve the following in any mode, including bypass
bestätigt 10.11.2026Permissions, though you can turn off the prompt for dangerous rm commands in bypass Permissions mode. Sending a new message starts the count over.
bestätigt 10.11.2026Asking by default requires Claude Code v2.1.278 or later.
bestätigt 10.11.2026Tools matched by an explicit ask rule
bestätigt 10.11.2026auto mode is the built-in starting permission mode for interactive terminal and VS Code sessions on every plan and provider
bestätigt 10.11.2026and so does any unsandboxed retry that needs approval to run outside the sandbox
bestätigt 10.11.2026Requires Claude Code v2.1.257 or later.
bestätigt 10.11.2026The value can name your working directory or repository root
bestätigt 10.11.2026guard doesn’t clear this check, because the variable isn’t empty
bestätigt 10.11.2026In an organization with the HIPAA configuration applied, the built-in auto default doesn’t apply.
bestätigt 10.11.2026A terminal or VS Code session starts in Manual mode when nothing else chooses its starting permission mode.
bestätigt 10.11.2026and the session is eligible for it
bestätigt 10.11.2026On Pro, Max, Ultra, and Team plans, and in sessions that don’t fetch feature flags, Claude Code asks once
bestätigt 10.11.2026Explicit ask rules and recognized rm and rmdir critical-path removals still prompt.
bestätigt 10.11.2026An allow rule or Pre
bestätigt 10.11.2026Tool Use hook can’t approve one even in the permission modes that skip other prompts. A critical-path removal is an rm or rmdir command whose target Claude Code recognizes as a critical path.
bestätigt 10.11.2026A command the check misses gets no special handling, so anything that approves Bash commands in your session can approve it with no prompt.
bestätigt 10.11.2026By default, classifier requests go to Claude Sonnet 5.
bestätigt 10.11.2026to a full model ID to run the classifier on a model other than the default
bestätigt 10.11.2026The time limit applies in Claude Code v2.1.281 and later, and so does the auto mode denial outside the terminal.
bestätigt 10.11.2026Wherever the removal is denied, you can read the whole command and run it in your shell.
bestätigt 10.11.2026the classifier decides, in the terminal, the VS Code chat panel, -p runs and Agent SDK sessions
bestätigt 10.11.2026the terminal prompt has no time limit, and the VS Code chat panel asks you
bestätigt 10.11.2026If you accept: Claude Code sets skipDangerousModePermissionPrompt to true in ~/.claude/settings.json, so later sessions skip the dialog.
bestätigt 10.11.2026auto on Pro, Max, Ultra, or Team plans in sessions that fetch feature flags, and default otherwise
bestätigt 10.11.2026In a session with server-side classifier review, read-only and sandboxed shell commands wait for that review and are blocked if it flags them
bestätigt 10.11.2026Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session
bestätigt 10.11.2026Auto mode appears unless your organization turns it off
bestätigt 10.11.2026it’s grayed out if the selected model doesn’t support it
bestätigt 10.11.2026Claude Code falls back to its own classifier requests.
bestätigt 10.11.2026Has ANTHROPIC_DEFAULT_SONNET_MODEL set
bestätigt 10.11.2026Has an Anthropic-configured classifier model
bestätigt 10.11.2026Reads and working-directory edits outside protected paths skip the classifier
bestätigt 10.11.2026You set Claude Opus 5, Sonnet 5.5, Opus 5.5 or one your organization’s model policy excludes
bestätigt 10.11.2026In Manual mode, Claude Code stops and asks you before most actions that edit files, run shell commands, or reach the network.
bestätigt 10.11.2026a second model, the classifier, reviews actions instead of you
bestätigt 10.11.2026In Claude Code v2.1.302 or later, claude -p and Agent SDK runs with no permission mode set start in Manual mode.
bestätigt 10.11.2026Calls needing approval are denied unless you approve them with an allow rule, hook, canUseTool callback, or --permission-prompt-tool.
bestätigt 10.11.2026This requires Claude Code v2.1.311 or later.
bestätigt 10.11.2026Set it only in an isolated environment whose contents you can afford to lose.
bestätigt 10.11.2026when a recursive rm targets a listed mounted drive path
bestätigt 10.11.2026Even with an allow rule for rm, Claude Code handles the command as a critical-path removal
bestätigt 10.11.2026default with Claude Code v2.1.285 or later; auto mode stays available to switch to
bestätigt 10.11.2026
Wenn die Zusammenfassung Anweisungen enthält, die niemand gegeben hatEin Sicherheitsforscher umgeht den Auto-Modus von Claude Code in bis zu 80 Prozent seiner VersuchePlan-Modus im GlossarRechtemodus im Glossar02 Die Werkzeuge03 Bedienung im Terminal08 Berechtigungen und Rechtemodi09 Sandbox und Isolierung10 Texte und Dateien in Ordnern10 Vorgabe und Umfang11 Eine Wissensbasis aufbauen12 Rechner und Netz pflegen16 Rechte und Sandbox19 MCP und Plugins23 Plan vor Code29 Skripte und CI30 Editor, Desktop, Web und Slack