AdminInference Hooks

Inference Hooks

Copy page



Sende jeden regulierten Prompt an den KI-Sicherheitsserver deiner Organisation, um vor der Inferenz ein Allow- oder Deny-Urteil einzuholen.

„Inference hooks“ (Inferenz-Hooks) ermöglichen es einer Claude Enterprise-Organisation, jeden regulierten Prompt über einen „AI security server“ (KI-Sicherheitsserver) zu leiten – einen HTTPS-Dienst, den die Organisation oder ihr Sicherheitsanbieter betreibt –, bevor die Inferenz ausgeführt wird. Wenn ein Benutzer einen Prompt absendet, sendet Anthropic das Gesprächstranskript an deinen KI-Sicherheitsserver und wartet auf ein Allow- oder Deny-Urteil; eine abgelehnte Anfrage erreicht das Modell nie. Sicherheits- und Compliance-Teams nutzen Inference Hooks, um Datenrichtlinien inline durchzusetzen, und Entwickler bauen den KI-Sicherheitsserver, der jede Anfrage bewertet.

Da der Hook auf den Servern von Anthropic läuft – nachdem die Anfrage den Client verlassen hat und bevor das Modell läuft –, gilt er einheitlich für jede regulierte Anfrage, ohne dass auf Benutzergeräten etwas installiert oder bereitgestellt werden muss.

Es gibt zwei Hook-Ereignisse. prompt wird einmal pro regulierter Inferenzanfrage ausgelöst, bevor die Inferenz beginnt. tool_call wird ausgelöst, wenn Claudes Antwort Tool-Aufrufe enthält, bevor einer davon ausgeführt wird, und zwar in Organisationen, in denen Validate tool calls aktiviert ist.

---

So funktionieren Inference Hooks

1. Ein Benutzer sendet einen Prompt auf einer regulierten Oberfläche ab.
2. Anthropic sendet einen HTTPS-POST an den konfigurierten KI-Sicherheitsserver-Endpunkt deiner Organisation. Der Anfragetext enthält das Gesprächstranskript, und jede Anfrage wird gemäß der Standard Webhooks-Spezifikation signiert, sobald deine Organisation ihr Signaturgeheimnis generiert hat, sodass dein Server überprüfen kann, dass sie von Anthropic stammt.
3. Dein KI-Sicherheitsserver bewertet den Inhalt und antwortet mit einem Urteil innerhalb des Urteils-Timeouts, das deine Organisation konfiguriert (standardmäßig 5 Sekunden).
4. Bei allow läuft die Inferenz normal weiter. Bei deny wird die Anfrage abgelehnt, und der Benutzer sieht eine „Durch Richtlinie blockiert“-Meldung, die aus zwei Teilen zusammengesetzt ist: dem anfragespezifischen Grund, den dein KI-Sicherheitsserver im Feld deny_reason des Urteils angegeben hat, gefolgt von einer festen Meldung, die deine Administratoren konfigurieren (zum Beispiel, an wen man sich wenden oder wo man eine Ausnahme beantragen kann). Wenn deine Administratoren keine konfiguriert haben, weist eine integrierte Standardmeldung den Benutzer an, sich an sie zu wenden. Jede Ablehnung wird außerdem im Activity Feed deiner Organisation aufgezeichnet.

Das folgende Diagramm zeigt ein Beispiel (eine Cowork-Anfrage, bei der Claude auch ein O365-Tool aufruft), um zu veranschaulichen, welche Teile des Ablaufs mit Hooks versehen sind. Die Hook-Punkte sind die Schritte 1, 2 und 3 des Diagramms, an denen der Prompt eintrifft, Claude das Tool aufruft und das Tool-Ergebnis zurückkommt. An jedem davon gibt dein KI-Sicherheitsserver ein Urteil zurück, bevor der Ablauf fortgesetzt wird. Schritt 2 ist nur bei aktiviertem Validate tool calls mit einem Hook versehen, und sein einzelnes Urteil deckt alle Tool-Aufrufe in einer Antwort ab.

Ein Urteil ist ein kleines JSON-Objekt: {"action": "allow"} lässt die Anfrage fortfahren, und ein Deny enthält den für den Benutzer sichtbaren Grund. Das vollständige Urteilsschema findest du unter Ein Urteil zurückgeben.

Dein KI-Sicherheitsserver sieht, was der Benutzer sieht: Transkripttext, Tool-Aufrufe und deren Ergebnisse sowie aus Anhängen extrahierten Text. Er erhält niemals rohe Datei- oder Bildbytes, System-Prompts oder Anthropic-interne Kontextinformationen.

Das Inference-hooks-System speichert keine eigene Kopie von Prompt- oder Antwortinhalten. Es speichert nur deine Hook-Konfiguration und Metadaten zur Hook-Aktivität, wie Urteile, Zeitstempel und Anfragekennungen. Das von dir verwendete Claude-Produkt speichert Prompts und Antworten gemäß seinen eigenen Regeln zur Datenaufbewahrung, unabhängig davon, ob Hooks aktiviert sind. Beispielsweise bleibt eine Nachricht, die ein Hook auf claude.ai blockiert, im Gespräch erhalten.

Wenn dein KI-Sicherheitsserver nicht erreichbar ist, einen Fehler zurückgibt oder nicht innerhalb des Timeouts antwortet, bestimmt die Einstellung zur Fehlerbehandlung deiner Organisation das Ergebnis: die Anfrage blockieren oder sie ohne Prüfung fortfahren lassen. Anhaltende Fehler, die deinem Server zuzuschreiben sind, lösen einen „circuit breaker" (Schutzschalter) aus: Anthropic kontaktiert deinen Server nicht mehr und wendet deine Einstellung zur Fehlerbehandlung auf jede Anfrage an. Anschließend setzt es den Schutzschalter automatisch zurück, sobald es erkennt, dass dein Server wieder Entscheidungen zurückgibt; siehe Circuit breaker.

Die Durchsetzung kann in deinem eigenen Tempo eingeführt werden, sodass niemand am ersten Tag blockiert werden muss: Der Shadow-Modus beobachtet Urteile im Live-Traffic, ohne etwas zu blockieren, ein Rollout-Prozentsatz prüft einen gewählten Anteil der Anfragen, und Ausschlüsse nehmen Mitglieder gewählter Rollen vollständig aus. Siehe Inference Hooks konfigurieren.

Die vollständigen Anfrage- und Antwortschemata, die Signaturprüfung und betriebliche Details findest du unter Eine Integration entwickeln.

---

Ein Gespräch nach einer abgelehnten Anfrage fortsetzen

Jede Anfrage enthält das gesamte Gespräch, sodass eine abgelehnte Nachricht mit jeder späteren Nachricht erneut gesendet wird. Wenn dein KI-Sicherheitsserver das gesamte Transkript bewertet, lehnt er auch diese Anfragen ab. Um fortzufahren, entfernt der Benutzer den abgelehnten Inhalt aus dem, was die App als Nächstes sendet, einschließlich aller Dateien, die Claude erneut lesen würde.

Die Schritte hängen von der App ab:

• claude.ai, einschließlich Claude Desktop und der mobilen Apps. Der Benutzer bearbeitet die abgelehnte Nachricht oder eine frühere, anstatt eine korrigierte Kopie als neue Nachricht zu senden. Im Web und in Claude Desktop sendet die Bearbeitung die Anhänge der Nachricht erneut, sofern der Benutzer sie nicht entfernt. Ein neuer Chat funktioniert ebenfalls.
• Claude Code. Der Benutzer führt /rewind aus und wählt den Prompt aus, der den Inhalt zuerst eingebracht hat. Falls gefragt, wählt er Restore conversation und bearbeitet oder löscht dann den Prompt, der in das Eingabefeld zurückkehrt. /clear beginnt von vorn. Siehe Checkpointing.
• Cowork. Der Benutzer bearbeitet die abgelehnte Nachricht, wenn es seine letzte ist. Die Bearbeitung sendet angehängte Dateien erneut, und Restart from here sendet die gesamte Nachricht unverändert erneut. Wenn sich der Inhalt in einer Datei oder einer früheren Nachricht befindet, wählt der Benutzer New task.
• Claude Tag. In Slack bearbeitet der Benutzer zuerst die abgelehnte Nachricht oder löscht sie, wenn es sich um eine Antwort handelt. Anschließend sendet er @Claude !restart als eigene Nachricht dort, wo Claude geantwortet hat: in diesem Thread oder auf der obersten Ebene des Kanals. Die neue Sitzung liest die noch in Slack vorhandenen Nachrichten erneut, daher muss die Bearbeitung oder Löschung zuerst erfolgen. Siehe den !restart-Befehl.

---

Anwendungsfälle

• „Data loss prevention“ (Verhinderung von Datenverlust), oder DLP. Leite das Transkript an deinen DLP-Scanner weiter und lehne Prompts ab, die regulierte oder klassifizierte Inhalte enthalten. Dies ist die häufigste Einsatzform.
• Echtzeit-Archivierung von Transkripten. Archiviere jedes Transkript bei Eingang und gib immer allow zurück – als Push-basierte Alternative zum Polling der Compliance API.
• Prompt-Telemetrie. Miss, wie deine Organisation Claude nutzt, im Moment der Nutzung.
• Policy-Engines. Setze deine eigenen Regeln vor der Inferenz durch: Modell-Allowlists, projektbezogene Einschränkungen oder Arbeitszeitkontrollen.

---

Aktuelle Einschränkungen

• Anhänge werden durch Metadaten und extrahierten Text dargestellt. Rohe Datei- und Bild-Bytes werden nie gesendet, sodass reine Bildinhalte (zum Beispiel ein Screenshot eines Dokuments) nicht geprüft werden.
• Urteile lauten Allow oder Deny. Das Umschreiben oder Schwärzen eines Prompts wird nicht unterstützt.
• Plattform-Organisationen (API-Zugriff über die Claude Platform) sind nicht im Geltungsbereich.

---

Verfügbarkeit

Inference hooks stehen Claude Enterprise-Organisationen zur Verfügung. Für die Konfiguration ist die Berechtigung organization:manage erforderlich, die nur die Rollen Owner und Primary owner besitzen.

Ein Hook kontrolliert Gespräche in claude.ai-, Cowork-, Claude Code- und Claude Tag-Sitzungen in deiner Claude Enterprise-Organisation, unabhängig davon, ob sie im Web, in den Desktop- oder mobilen Apps, in der CLI oder in Slack laufen. Inference hooks sind auf Amazon Bedrock oder Google Cloud nicht verfügbar.

Regulierte Anfragen sind die Inferenzanfragen hinter dem Gespräch des Benutzers. Nebenanfragen werden nicht an deinen Endpunkt gesendet. Dazu gehören die Generierung von Gesprächstiteln und eine Messung, die Anthropic an Claudes Antwort durchführt, nachdem Claude Tag sie in Slack gepostet hat. System-Prompts und Tool-Definitionen sind nie in dem enthalten, was gesendet wird. Im Sprachmodus werden Prompts und Tool-Aufrufe ebenfalls an deinen Endpunkt gesendet, ein kleiner Anteil der Tool-Aufrufe jedoch nicht, verlasse dich daher für Sprache nicht auf Inference hooks als einzige Kontrolle. Wenn dein Endpunkt eine Anfrage im Sprachmodus ablehnt, endet der Sprachanruf in der Regel mit einer allgemeinen Fehlermeldung, und dein Ablehnungsgrund wird nicht angezeigt.

Bei aktiviertem Validate tool calls können tool_call-Ereignisse Aufrufe einiger eigener Tools von claude.ai auslassen, etwa Tools, die Connectors, Plugins oder Skills auflisten, suchen oder vorschlagen, das Starten einer Recherche oder das Aktivieren der Websuche vorschlagen, nach anderen Tools suchen, zu einem größeren Modell wechseln, den Chat beenden, Claude die Ortszeit des Benutzers mitteilen oder die eigenen früheren Chats und das gespeicherte Memory des Benutzers lesen. Diese Aufrufe und ihre Ergebnisse bleiben im Gespräch, sodass das nächste prompt-Ereignis aus diesem Gespräch, falls es eines gibt, sie enthält.

Einige Funktionen, die Anthropic für deine Organisation ausführt, tätigen eigene Modellaufrufe. Deine Organisation sieht die Ergebnisse dieser Aufrufe, aber nicht deren Transkripte. Diese Aufrufe sind keine regulierten Anfragen und werden nicht an deinen Endpunkt gesendet. Dazu gehören:

• Claude Security-Scans (Beta). Claude Security führt gehostete Scans in deinen verbundenen Repositories durch. Eine Sitzung, die ein Benutzer öffnet, um einen Befund zu beheben, sowie das Claude Security-Plugin in Claude Code sind reguliert.
• Code Review (Research Preview). Code Review führt Reviews deiner GitHub-Pull-Requests durch. Ein Review, das ein Benutzer lokal in Claude Code mit /code-review ausführt, ist reguliert.
• Smart Reports (Beta). Anthropic tätigt Modellaufrufe, um die Smart Reports deiner Organisation zu erstellen.

---

Inference Hooks im Vergleich zur Compliance API

Beide Funktionen dienen Sicherheits-, Rechts- und Compliance-Teams in Claude Enterprise-Organisationen.

Verwende Inference Hooks, um eine Anfrage zu stoppen, bevor sie das Modell erreicht, und die Compliance API, um im Nachhinein zu prüfen, was geschehen ist.

---

In diesem Abschnitt