Claude erhält mehr Möglichkeiten, Aufgaben direkt im Browser und an vernetzten Geräten auszuführen. Damit entwickelt sich die Künstliche Intelligenz (KI) vom antwortenden Chatbot zum handelnden Agenten, also einem System, das mehrstufige Aufgaben teilweise selbstständig erledigt. Das betrifft sowohl einzelne Anwenderinnen und Anwender als auch Unternehmen, weil Claude dadurch nützlicher wird, Fehler oder manipulierte Anweisungen aber grössere Folgen haben können.
Was Claude jetzt direkt erledigt
Anthropic integriert laut einem Bericht über Claude Cowork einen eigenen Browser in die Desktop-App. Sobald eine Aufgabe eine Webseite benötigt, öffnet sich dieser Browser in einem Seitenfenster. Claude kann dort Seiten aufrufen, Inhalte lesen, Schaltflächen anklicken und Text eingeben.
Ein konkretes Alltagsbeispiel ist das Ausfüllen eines Onlineformulars. Im Beruf kann Claude Zahlen aus einem webbasierten Dashboard übernehmen, selbst wenn das Portal keine Programmierschnittstelle bietet – also keinen vorgesehenen digitalen Zugang für andere Programme. Aus einer Bitte wie «Sammle die Monatswerte aus diesem Portal» kann damit eine ausgeführte Aufgabe werden, statt nur eine Anleitung.
Der integrierte Browser bleibt vom persönlichen Browser getrennt. Claude sieht deshalb keine bereits geöffneten Tabs, Lesezeichen oder gespeicherten Passwörter. Logins lassen sich laut Bericht einzeln aus Chrome, Edge oder Firefox übertragen; Banking- und E-Mail-Seiten sind davon ausgenommen. Wenn du eine bereits geöffnete und angemeldete Seite verwenden willst, bleibt die Chrome-Erweiterung der vorgesehene Weg.
Der Browser soll ab der Berichtswoche für Pro-, Max- und Team-Pläne sowie für Unternehmenskunden verfügbar sein. Konkrete Preise nennt die Quelle nicht. Ebenso fehlen Angaben dazu, ob alle Funktionen gleichzeitig in sämtlichen Ländern und Sprachen bereitstehen.
Warum der nächste Schritt relevant ist
Der Browserzugriff ist nur ein Teil der Entwicklung. Mit dem Model Hardware Standard (MHS), einem gemeinsamen Standard für die Steuerung programmierbarer Geräte, will Anthropic Agenten auch Zugang zu Labor- und Fertigungstechnik geben. Die Forschungsvorschau von Anthropic richtet sich zunächst an ausgewählte wissenschaftliche Labore und fortgeschrittene Hersteller.
MHS verwendet standardisierte Treiber, also Software, die zwischen einem Computer und einem Gerät übersetzt. Dadurch sollen Mikroskope, Flüssigkeitshandhabungssysteme und Roboterarme über eine gemeinsame Struktur auffindbar und steuerbar werden. Der Standard ist laut Anthropic nicht an Claude gebunden und kann über gängige Protokolle auch von anderen Agentensystemen genutzt werden.
Anthropic nennt als Beispiel eine KI, die einen Laser einstellt, das Resultat mit einer Kamera prüft und den Vorgang zur Kalibrierung wiederholt. Ein weiteres Beispiel ist ein Mikroskop, das Claude fokussiert, dessen Aufnahmen das System analysiert und anschliessend auf einen interessanten Bereich ausrichtet. Ars Technica ordnet dazu ein, dass die gemeinsame Gerätesprache grundsätzlich auch ohne KI verwendet werden kann.
Nach Angaben von Anthropic könnte MHS den Integrationsaufwand für unterschiedliche Geräte von Wochen oder Monaten auf Stunden oder Minuten verkürzen. Diese Zeitangabe stammt vom Anbieter und ist noch nicht unabhängig geprüft. Die Vorschau soll zunächst auch dazu dienen, Sicherheitsbewertungen und bewährte Vorgehensweisen zu entwickeln, bevor der Standard als quelloffene Software veröffentlicht wird.
Pro und Kontra autonomer Claude-Agenten
Pro:
- Weniger Handarbeit – Claude kann wiederkehrende Klick-, Lese- und Eingabeaufgaben in Webportalen übernehmen.
- Zugang zu älteren Portalen – Der Browser kann auch mit Webseiten arbeiten, die keine Programmierschnittstelle anbieten.
- Gemeinsame Gerätesprache – MHS soll den aufwendigen Bau einzelner Verbindungen zwischen Labor- oder Fertigungsgeräten reduzieren.
- Mehrstufige Abläufe – Ein Agent kann Ergebnisse prüfen, Parameter anpassen und laut Anthropic in manchen Fällen auf Gerätefehler reagieren.
Kontra:
- Manipulierte Inhalte – Webseiten oder Dokumentationen können versteckte Anweisungen enthalten, denen ein Agent irrtümlich folgt.
- Grössere Schadenswirkung – Ein falscher Textvorschlag ist leichter zu korrigieren als ein ausgeführter Befehl oder eine veränderte Geräteeinstellung.
- Unvollständige Schutzsysteme – Sicherheitsfilter können Angriffe übersehen und im ungünstigen Fall sogar eine nachträgliche Bereinigung blockieren.
- Unklare Verantwortung – Je selbstständiger ein System handelt, desto schwieriger wird die Kontrolle über lange oder unbeaufsichtigte Abläufe.
Welche Schutzmassnahmen unverzichtbar sind
Das zentrale technische Risiko heisst Prompt Injection, also eine manipulierte Anweisung in einer Webseite oder Datei, die das eigentliche Ziel des Agenten verändert. Anthropic empfiehlt deshalb, den Cowork-Browser auf vertrauenswürdige Webseiten zu beschränken. Die Trennung vom persönlichen Browser und der seitenweise Import von Logins verkleinern den sichtbaren Datenbereich, beseitigen das Grundproblem aber nicht.
Wie real das Risiko ist, zeigt ein Bericht über automatisch installierten Programmcode. Forschende fanden auf mehr als 100 Webseiten maschinenlesbare Dokumentationsdateien, die auf nicht registrierte Programmpakete oder Domains verwiesen. Nach der Registrierung einiger freier Namen erhielten sie Rückmeldungen aus mehreren Unternehmensnetzen; die aufgezeichneten Abläufe deuteten unter anderem auf Claude, OpenAIs Codex und Hermes als beteiligte Agenten hin.
Die Untersuchung zeigt ein Lieferkettenrisiko: Ein Agent kann eine technische Dokumentation als vertrauenswürdig behandeln und darin enthaltene Installationsbefehle ausführen. Mindestens eine falsch konfigurierte Webseite verwies laut Bericht bereits auf aktive Schadsoftware. Die betroffenen Anbieter hatten bis zur Veröffentlichung nicht auf Anfragen von Ars Technica reagiert.
Auch automatische Sicherheitsmodi sind keine Garantie. Ein von Simon Willison zusammengefasster Angriff auf Claude Code soll nach Aussage des Sicherheitsforschers Johann Rehberger in 80 Prozent der Versuche funktioniert haben. Dabei brachte eine präparierte Archivdatei den Agenten dazu, lokalen Programmcode auszuführen. Diese Erfolgsquote ist eine Behauptung des Forschers und wurde in den vorliegenden Quellen nicht unabhängig bestätigt.
Besonders heikel war, dass der automatische Schutzmodus in einzelnen Durchläufen zwar die Entstehung des schädlichen Prozesses zuliess, anschliessend aber den Bereinigungsbefehl blockierte. Willison empfiehlt deshalb eine Sandbox, also eine abgeschottete Ausführungsumgebung, sowie eingeschränkten Netzwerkzugang, Überwachung und den Entzug von Zugängen zu persönlichen Verzeichnissen, Sicherheitsschlüsseln und Cloud-Anmeldedaten.
Schritt 1: Aufgabe und Grenzen festlegen
- Beschreibe möglichst eng, welche Webseite, welche Daten und welcher Arbeitsschritt erlaubt sind.
- Vermeide offene Aufträge, bei denen der Agent selbst zusätzliche Quellen oder Installationen auswählen muss.
Schritt 2: Zugriffe sparsam vergeben
- Übertrage nur den Login der tatsächlich benötigten Seite in den Cowork-Browser.
- Halte persönliche Konten, vertrauliche Verzeichnisse und nicht benötigte Zugangsdaten ausserhalb der Agentenumgebung.
Schritt 3: Kritische Aktionen kontrollieren
- Prüfe Formulare, heruntergeladene Dateien und auszuführende Befehle vor der endgültigen Freigabe.
- Lass sensible oder schwer rückgängig zu machende Abläufe nicht unbeaufsichtigt laufen.
Schritt 4: Umgebung überwachen
- Nutze für risikoreiche Agentenaufgaben eine getrennte und überwachte Umgebung.
- Begrenze den Netzwerkzugang und halte nachvollziehbar fest, welche Aktionen der Agent ausführt.
Was das für dich und die Schweiz heisst
Als Einsteigerin oder Einsteiger solltest du mit einer Aufgabe beginnen, die leicht überprüfbar und rückgängig zu machen ist. Claude könnte beispielsweise Werte aus einem nicht vertraulichen Dashboard zusammentragen oder ein Formular vorbereiten, das du vor dem Absenden vollständig kontrollierst. So siehst du, wie zuverlässig der Browser arbeitet, ohne ihm gleich Zugang zu besonders sensiblen Konten zu geben.
Als fortgeschrittene Anwenderin oder fortgeschrittener Anwender holst du mehr heraus, wenn du Aufgaben, Konten und Arbeitsumgebungen konsequent trennst. In einem Unternehmen gehört dazu, mit der zuständigen IT festzulegen, welche Webseiten, Netzwerke und Daten ein Agent erreichen darf. Bei unbeaufsichtigten Abläufen reicht ein eingebauter Sicherheitsmodus allein nach den dokumentierten Angriffen nicht aus.
Für die Schweiz bleiben mehrere praktische Fragen offen. Die Quellen nennen weder eine besondere Schweizer Verfügbarkeit noch Angaben zu unterstützten Landessprachen oder zur Verarbeitung von Daten in der Schweiz. Organisationen in Bildung, Forschung und Arbeitswelt müssen daher vor einem Einsatz anhand der tatsächlich angebotenen Vertrags- und Produkteinstellungen klären, welche Daten Claude sehen und welche Aktionen das System ausführen darf.
Claude wird durch den eigenen Browser und MHS deutlich handlungsfähiger: Der Agent kann nicht nur erklären, sondern klicken, schreiben, messen und Geräte einstellen. Das spart bei klar begrenzten Abläufen Arbeit, verschiebt aber einen Teil des Risikos von falschen Antworten zu falschen Handlungen. Offen bleibt vor allem, ob Schutzmechanismen manipulierte Inhalte zuverlässig erkennen, bevor ein Agent Zugriff auf wertvolle Daten, Unternehmensnetze oder physische Geräte erhält.
Quellen
- Anthropic baut Claude Cowork einen eigenen Browser ein – THE DECODER, 2026-08-27
- Breaking Claude Code Opus 5 Auto Mode – Simon Willison’s Weblog, 2026-08-27
- Anthropic’s new hardware standard lets AI agents control the physical world – Ars Technica, 2026-08-27
- Claude, Codex, and Hermes installed unowned code inside corporate networks – Ars Technica, 2026-08-27
- Previewing the Model Hardware Standard – Anthropic, 2026-08-27
