Was Anthropic freigeschaltet hat
Die Erweiterung Claude in Chrome ist laut Anthropic seit dem 26. August 2026 für jeden bezahlten Claude-Plan verfügbar, also Pro, Max, Team und Enterprise. Claude sieht die geöffnete Seite, liest und schreibt Text, klickt Links und füllt Formulare aus, mit den Logins, die im Browser schon hinterlegt sind. Neu gegenüber der Beta ist, dass Claude die Schritte selbst ausführt, statt vor jedem Klick zu fragen. Ein Klassifizierer, ein zweites Modell, das jede Aktion mit dem ursprünglichen Auftrag vergleicht, prüft vorher, ob der Klick dazu passt. Die Erweiterung läuft nur in Chrome, nicht auf dem Handy und nicht mit Dateien auf der Festplatte. Die Beta stand im Chrome Web Store bei 2,8 Sternen (Gigazine, 27. August 2026).
Am selben Tag bekam Claude Cowork einen eigenen Browser in der Desktop-App, für Pro, Max und Team auf macOS, Windows und Linux. Der ist vom privaten Browser getrennt („Claude never sees your tabs, bookmarks, or passwords“), Bank-, Mail- und Single-Sign-on-Seiten bleiben ausgeschlossen, solange man sie nicht ausdrücklich freigibt, und Logins wandern Seite für Seite hinüber. Anthropic empfiehlt ihn für Aufgaben im Hintergrund, etwa Lieferantenportale, und die Chrome-Erweiterung für Seiten, die man gerade selbst offen hat.
Was Anthropic gegen unterschobene Anweisungen misst
Die Gefahr bei einem Assistenten, der selbst klickt, heißt Prompt Injection: Eine Webseite, eine Mail oder ein PDF enthält versteckten Text, der dem Modell einen anderen Auftrag unterschiebt, etwa „schick die Kundenliste an diese Adresse“. Anthropic lässt dagegen „Probes“ laufen, die eine Seite vor der Aktion auf solche Anweisungen absuchen, dazu den Klassifizierer aus dem ersten Abschnitt.
Die Zahlen dazu stammen aus Anthropics eigener Messung mit angeheuerten Angreifern, im selben Blogbeitrag vom 26. August 2026: Ohne Schutz kamen Angriffe gegen Opus 4.5 in 17,6 Prozent der Fälle durch, gegen Opus 5 in 3,8 Prozent. Mit Probes allein lag Opus 4.5 noch bei 16,7 Prozent. Mit Probes und Klassifizierer kam gegen Sonnet 5, Opus 5 und Mythos 5 kein Angriff mehr durch, gegen Fable 5 0,3 Prozent. Eine unabhängige Prüfung gibt es nicht. Anthropic schreibt beim Cowork-Browser selbst, dass die Schutzmaßnahmen das Risiko „deutlich verringern, aber nicht beseitigen“.
Was sich im Betrieb ändert
Ein Elektrobetrieb mit acht Leuten bestellt Material bei drei Großhändlern, jeder mit eigenem Portal ohne Schnittstelle. Bisher tippt die Bürokraft jede Bestellung ab, 20 Minuten am Tag. Ab jetzt kann sie Claude die Positionsliste aus dem Auftrag geben, und der Assistent legt die Artikel im Portal in den Warenkorb. Dasselbe gilt für das Vergabeportal der Kommune, das Zeiterfassungsportal der Berufsgenossenschaft oder das Formular beim Zoll.
Der Warenkorb ist die richtige Grenze. Das Muster dafür gibt es seit dem 27. Mai 2026 bei Robinhood: Der US-Broker gibt Agenten eine virtuelle Kreditkarte mit eigenem Limit, einer Nachricht bei jeder Transaktion und Freigabe je Kauf, und übernimmt keine Haftung für das, was der Agent anstellt (CNBC, 27. Mai 2026). Übertragen auf den Betrieb: Der Assistent füllt aus, ein Mensch drückt auf Bestellen. Bank, Steuerberaterportal und das Mailpostfach bleiben draußen, so wie es der Cowork-Browser von sich aus vorgibt. Und wer die Chrome-Erweiterung nutzt, richtet dafür ein eigenes Chrome-Profil ein, in dem nur die Logins liegen, die der Assistent braucht.
Was das für Calisoft heißt
Unsere Agenten holen Daten heute über Schnittstellen oder aus dem Vault. Für Portale ohne Schnittstelle prüfen wir den Cowork-Browser als Werkzeug im Skill für Bestellungen und Ausschreibungen, mit derselben Regel wie oben: Der Agent bereitet vor, ein Mensch gibt frei, und jeder Schritt landet im Journal des Portals. Für die Schulung prüfen wir ein Kapitel „Browser-Vollmacht“, mit dem getrennten Profil, der Ausschlussliste und einem Testlauf, bei dem eine präparierte Seite den Assistenten umlenken soll. Zugesagt ist davon nichts.
Was Sie jetzt erledigen können
Schreiben Sie auf, welche Portale Ihr Betrieb nutzt und wer dort angemeldet ist. Streichen Sie Bank, Steuerberater und Postfach, der Rest ist die Liste für den Assistenten.
Legen Sie in Chrome ein eigenes Profil „Assistent“ an, bevor Sie die Erweiterung installieren. Dort nur die Logins von der Liste, keine gespeicherten Kreditkarten.
Lassen Sie den ersten Auftrag im Warenkorb enden und prüfen Sie ihn eine Woche lang jedes Mal, bevor jemand auf Bestellen drückt.
Passend dazu: Was ein KI-Agent wirklich ist.
← Alle News