Claude Code: Der dichteste Changelog der Branche
Hunderte Versionen, Tausende Patches: Anthropics Logbuch erzählt, wie man einen Coding-Agenten industrialisiert.
Kurz gesagt
Der öffentliche Changelog von Claude Code dokumentiert jede Version des Tools, von 0.2.21 bis zu den 2.1.x-Builds, mit ungewöhnlicher Detailtiefe: Neuerungen, Sicherheits-Patches, bewusst in Kauf genommene Regressionen, Enterprise-Einstellungen. Am Stück gelesen zeichnet er die Entwicklung eines simplen CLIs zu einer Agenten-Plattform mit Plugins, Sandbox, Cloud-Sessions, Slack-Integrationen und IT-Governance nach. Es ist ebenso sehr ein Produktdokument wie ein Architekturhandbuch für alle, die Agenten bauen.
🍺 Tresen-Version
Du öffnest den Claude-Code-Changelog in der Annahme, drei Zeilen zu lesen, und stolperst über das Äquivalent eines russischen Romans, geschrieben von Ingenieuren. Es gibt tägliche Releases, manchmal mehrere, mit Patches wie „behoben: Terminal gab Geisterzeichen aus, wenn man in tmux über SSH durch einen Diff scrollte“. Das ist der Beweis dafür, dass ein Agent, der an deinem Code, deiner Shell und deinen Secrets rumfummelt, zu 10 % Modell und zu 90 % sehr, sehr öde Klempnerarbeit ist. Wenn du wissen willst, wie KI in Produktion wirklich aussieht, dann steht's hier, nicht in den Keynotes. 🛠️
Das Wichtigste
- 1
Der Changelog deckt die gesamte Geschichte des Tools ab, von 0.2.21 bis zum 2.1.x-Branch, mit manchmal mehreren Releases am selben Tag.
- 2
Die Produktentwicklung ist eindeutig: von einem Terminal-REPL zu einer Plattform mit Plugins, Marketplaces, Netzwerk-/Datei-Sandbox, Cloud-Sessions, Hintergrund-Agenten und Slack-Integration („Claude Tag“).
- 3
Ein Großteil der Einträge betrifft den Prompt-Cache: Jede Cache-Regression wird als schwerwiegender Performance-Bug behandelt – ein Beweis dafür, dass Token-Kosten ein zentrales Produktthema sind.
- 4
Sicherheit taucht ständig auf: Bash/PowerShell-Permission-Umgehungen, Symlinks, NT-Pfade unter Windows, geleakte Secrets in MCP-Logs oder Git-URLs.
- 5
Der Enterprise-Teil ist riesig: Managed Settings, MDM-Policies, Marketplace-Allowlists, „Claude Apps Gateway“, detailliertes OpenTelemetry-Tracking, selbstgehostete Runner.
- 6
Die Modelle ziehen im Laufe der Versionen vorbei — Opus 4.6, 4.7, 4.8, Opus 5, Sonnet 5, Haiku 4.5, Fable 5 — jeweils mit Anpassungen bei Effort-Level, 1M-Kontext und Preisgestaltung.
- 7
Anthropic dokumentiert auch die eigenen Fehlschläge: nach Version benannte Regressionen, zurückgenommene Änderungen („Reverted the 2.1.259 change…“), entfernte Features.
Ein Produktdokument, getarnt als Release Notes
Der Changelog von Claude Code ist keine Formalität. Es ist ein quasi tägliches Journal, generiert aus der CHANGELOG.md des Repos, in dem jeder Eintrag präzise beschreibt, was sich geändert hat und warum. An manchen Tagen gibt es mehrere Versionen, jede mit Dutzenden Zeilen.
Die Granularität ist ungewöhnlich. Man liest sowohl „Hinzufügung von AGENTS.md-Support: In einem Projekt ohne CLAUDE.md liest Claude Code AGENTS.md“ als auch „Behoben: Cursor blieb nach Rückkehr aus einem externen Vollbild-Editor unter rxvt-unicode sichtbar“.
Diese Vollständigkeit hat eine Funktion: Ein Agent, der Code schreibt, Befehle ausführt und Credentials handhabt, kann sich keine Intransparenz leisten. Jede Verhaltensänderung ist potenziell eine Änderung der Angriffsfläche oder der Rechnung.
Vom CLI zur Agenten-Plattform
Die ersten Versionen (0.2.x, 1.0.x) passen in eine Zeile. Dann kommen custom Slash-Commands, MCP-Server, Hooks, Subagents, Skills, Plugins und ihre Marketplaces.
Der sichtbarste Wendepunkt ist die Einführung von Hintergrund-Sessions und der „Agent View“ (claude agents): eine einzige Liste aller Sessions — laufend, auf eine Frage blockiert, abgeschlossen. Dazu kommen isolierte Git-Worktrees, dynamische Workflows, die „Dutzende bis Hunderte von Agenten“ orchestrieren, und Remote Control, das eine Terminal-Session mit claude.ai oder Mobile verbindet.
Parallel dehnt sich das Tool über das Terminal hinaus aus: VS-Code-Erweiterung, Claude Code im Web, Claude Desktop, „Claude Tag“ in Slack, Claude in Chrome, Code Review für Pull Requests. Jede Oberfläche erzeugt ihre eigene Spalte an Patches.
Die Obsession mit dem Prompt-Cache
Ein Muster taucht Dutzende Male auf: „Fixed a prompt-cache miss…“. OAuth-Token-Refresh, der Tool-Definitionen neu schreibt, MCP-Server, der sich zu einem anderen Zeitpunkt neu verbindet, Modellwechsel, der das gesamte Tool-Set neu sendet, Session-Wiederaufnahme, die Tool-Beschreibungen neu rendert.
Jeder dieser Bugs kostet teuer: Ein Cache Miss bedeutet, dass die gesamte Konversation in nicht gecachten Tokens erneut gesendet wird. Anthropic behandelt sie als erstrangige Regressionen, mit chirurgischen Fixes („das Präfix des System-Prompts ändert sich nicht mehr“, „späte Tools kommen als deferred definitions an“).
Das Team fügt sogar dedizierte Observability hinzu: eine prompt-cache-Zeile in /cost, ein prompt_cache-Feld für die Status-Line und eine wahrscheinliche Ursache für den Cache Miss. Das ist eine allgemeine Lektion für alle, die Agenten bauen: Die Byte-für-Byte-Stabilität des Kontext-Präfixes ist eine Engineering-Zwang, kein Detail.
Sicherheit und Permissions: der Shell-Krieg
Der Sicherheitsteil ist der lehrreichste. Man findet eine lange Reihe behobener Umgehungen: zusammengesetzte Befehle, die Permission-Regeln umgingen, ungeprüfte < file-Umleitungen, zsh-Variablen, die anders interpretiert werden als bash, PowerShell-Parameter, die $PSDefaultParameterValues überschreiben, Symlinks, die nach der Permission-Prüfung ausgetauscht wurden.
Windows hat seine eigene Saga: NT-Pfadformate \??\, die UNC-Validierung umgehen — beschrieben als Vektor für NTLM-Credential-Leaks —, Cygwin-Symlinks, denen Git Bash folgt, groß-/kleinschreibungsunabhängige Permission-Regeln für Laufwerksbuchstaben.
Dazu kommen Secret-Leaks: Tokens in Git-URLs, die von /plugin angezeigt werden, ${VAR}-Werte, die in MCP-Fehlermeldungen aufgelöst werden, Credentials, die an ein Drittanbieter-Gateway gesendet werden. Und eine Sandbox, die sich schrittweise verstärkt: Netzwerk-Isolation, Credential-Maskierung, AWS-SigV4-Neusignierung, Domain-Allowlists pro Befehl.
Enterprise, der blinde Fleck der Demos
Ein auffälliger Anteil der Einträge richtet sich an Administratoren: Managed Settings, verteilt über MDM oder Windows-Registry, forceLoginMethod, requiredMinimumVersion, Allowlists für Plugin-Marketplaces, von der Organisation erlaubte Modelle, Ausgabenlimits über Gateway.
Der „Claude Apps Gateway“ erscheint als eigenständige Komponente, mit eigenem Postgres, Concurrency-Limits, OpenTelemetry-Relay und Bedrock/Vertex/Foundry-Upstreams. Selbstgehostete Runner (claude self-hosted-runner) erlauben es, Cloud-Sessions auf eigenen Maschinen auszuführen.
Telemetrie wird mit derselben Ernsthaftigkeit behandelt: OTel-Events für Prompts, Tool-Entscheidungen, Compactions, Plugins, mit expliziten Opt-in-Variablen für sensible Inhalte. Das ist die Infrastruktur, die man in keiner Demo sieht und die dennoch über die tatsächliche Adoption entscheidet.
Die Modelle ziehen vorbei, das Harness bleibt
Im Laufe des Changelogs folgen die Modelle aufeinander: Opus 4.6, dann 4.7, 4.8, Opus 5, Sonnet 5 mit nativem 1M-Token-Fenster, Haiku 4.5, Fable 5 dann 5.1 (1M Kontext, 10/10/50 pro Mtok), und ein erwähntes „Mythos 5“.
Jede Ankunft zieht ihre Reihe von Anpassungen nach sich: Effort-Level (low, medium, high, xhigh, max), Auto-Compaction, neu kalibriert auf das echte Kontextfenster, Fast Mode mit sich ändernden Tarifen, Standardmodelle, die je nach Plan und Provider variieren.
Die implizite Botschaft ist klar: Das Modell ändert sich alle zwei Monate, das Harness — Permissions, Cache, Tools, Sandbox, Session-Wiederaufnahme — ist das dauerhafte Asset. Es ist dieses Harness, das die Komplexität absorbiert, während das Modell einfach nur leistungsfähiger wird.
“Run claude --version to check your installed version.”
“This page is generated from the CHANGELOG.md on GitHub.”
Warum es zählt
Dieser Changelog ist wahrscheinlich das ehrlichste öffentliche Dokument darüber, was ein Coding-Agent in Produktion wirklich kostet. Er zeigt, dass die Lücke zwischen einer beeindruckenden Demo und einem enterprise-tauglichen Tool durch Tausende Stunden geschlossen wird, die für undankbare Themen aufgewendet werden: Shell-Befehls-Parsing, Tastenkodierung in rxvt-unicode, prozessübergreifende Credential-Locks, Cache-Invalidierung. Das Risiko für den Leser ist ein Sättigungseffekt: Bei diesem Publikationstempo kann niemand mithalten, und die erschöpfende Dokumentation wird paradoxerweise unlesbar — Anthropic gesteht das halb ein, indem ein Versions-Selektor in /release-notes hinzugefügt wird. Man kann auch feststellen, was das Format verschleiert: Kein Eintrag erklärt die Produktentscheidungen, entfernte Features werden in einer Zeile abgehandelt, und die benannten Regressionen erinnern daran, dass ein Rhythmus von mehreren Releases pro Tag einen Stabilitätspreis hat. Bleibt, dass dieser Text für jedes Team, das seinen eigenen Agenten baut, als Checkliste all dessen funktioniert, was kaputtgehen wird.
Weiterlesen
SicherheitHeute„On July 25, we hacked OpenAI“: zwei Bugs, 72 Stunden, ein interner PR
Der Sicherheitsforscher s1r1us gibt bekannt, die Kontrolle über ChatGPT- und Codex-Konten von OpenAI-Mitarbeitern übernommen zu haben – als Beweis diente eine Pull Request im internen Code.
KIHeuteAnthropic öffnet seine Türen für interne Prüfer, die mit 1 Milliarde bezahlt werden
Accenture wird Sicherheitsprüfer direkt bei Anthropic platzieren, mit einem Zugang vergleichbar dem eines Mitarbeiters — und bezahlt vom Labor selbst.
KIGestern10.000 Agenten, 88 Stunden, ein Millenniumsproblem
Noam Brown (OpenAI) beschreibt die Skalierung von Agenten-Schwärmen — und warum Alignment der einzige Engpass ist, der ihn wirklich beunruhigt.