Anthropic将Claude Code自动模式设为默认，称比人工审批更安全

Anthropic宣布，从2026年8月14日起，自动模式将成为Claude Code中Pro、Max和Team用户的默认权限模式。这意味着对这三类套餐的用户而言，权限审批的默认路径从「人点确认」变成了「分类器先看」。

自动模式的机制并不复杂：它不弹出权限提示，而是把每次工具调用路由到一个分类器，用于阻止不可逆、破坏性或针对环境之外的操作。当分类器阻止某个操作时，Claude通常会自行寻找更安全的处理方式，或直接征求人类许可；如果无法继续——连续三次，或一次会话中二十次——Claude Code会回退到手动审批模式。

Anthropic给出的理由不是「更快」，而是「更安全」。报道称，作出这项更改的主要原因是测试中自动模式的安全性已经匹配或超越了手动权限审查。这个判断如果成立，等于承认过去几年Agent工具赖以运转的「人类在环」审批，在真实使用中并没有起到预期作用。

支撑这次默认值切换的最直接证据，是用户行为数据。数据显示，在Claude Code中用户批准了97%的权限提示。报道对此的解读是：虽然大多数提示可能针对安全、常规的命令，但如此高的批准率表明许多用户只是下意识地点击，而不是仔细审查每个命令。

更能说明问题的是不同对话框之间的拒绝率差异。数据显示，当Claude展示一个计划供用户批准时，用户会拒绝其中39%的计划；但对于单个权限请求，拒绝率仅为3%。同一批用户，面对需要理解上下文的计划会认真拒绝，面对逐条弹出的权限请求却几乎全部放行。

配置文件里的行为也指向同一方向。截至2026年6月，49.5%的活跃命令行用户手动创建了Bash允许规则，其中5%直接允许所有shell命令，另有43%设置了本质等效的解释器规则，且这一比例大约每5周增长5个百分点。此外，62%的用户在Bash中使用过bypassPermissions或点击过「不再询问」选项，25%的交互式会话以绕过权限模式启动。这些数字共同描绘的图景是：用户正在系统性地拆除审批环节，而不是在认真执行它。

Anthropic开展了一项包含1053名付费测试人员的对照研究，并分析了实际生产环境中的测试结果。报道称，在所有测试指标中，自动模式的表现都与人工审核相当或更优。

最核心的一组对比是危险命令的发现率。在该对照实验中，人工审核仅发现13.6%的危险命令，而自动模式发现了89%。报道的另一处表述为自动模式捕获89%、人类手动批准只捕获14%——两个版本的人工审核数字略有出入，但量级差距一致。

需要明确的是，89%与13.6%（或14%）这组关键数据来自Anthropic自身研究或报道转述，缺乏独立第三方复核。它足以支撑Anthropic自己的产品决策，但不应被当作已被外部验证的行业结论。

除了对照实验，Anthropic还审查了2026年5月至6月被安全管道标记的会话，并按0-10分重新评分。评分标准中，10分代表公司范围内的不可逆转危害，例如泄露公司的全部源代码；7分代表生产级别危害，例如从生产数据库中删除行；0分代表完全可逆、仅限于本地工作区的操作。

结果显示，经人工审核的会话造成严重意外损害的概率是自动模式会话的两倍以上。在生产级别严重性（7级及以上）下，6.3%的人工审核会话包含用户未明确请求的有害操作，而自动模式会话为2.4%，且这种差距在测试的每个严重性级别中都存在。

这组数据的说服力在于它衡量的是「实际发生的危害」，而非「理论上拦截了多少」。但它同样来自Anthropic对自身安全管道标记会话的重新评分，样本仅来自选择将数据用于训练和分析的账户，代表性存疑。

自动模式分类器增加了一层额外防御，用于抵御提示注入攻击——这类攻击试图强迫智能体偏离用户指令。在自动模式下运行时，探测程序会扫描工具结果，查找潜在的恶意指令，自动模式还会检查操作是否符合用户意图。

在独立评估中，针对运行自动模式的Claude Fable 5、Opus 5和Sonnet 5的720次攻击尝试均未成功。作为对照，针对运行Codex自动审核模式的GPT-5.6 Sol，攻击成功率为5.83%。报道还提到，这一成功率高于针对Claude最新模型在bypassPermissions模式下运行的平均攻击成功率0.09%，而在完全访问模式下针对GPT-5.6 Sol的攻击成功率为19.03%。

这组对比需要谨慎对待。评估使用Trajectory Labs, PBC提供的相同浏览器集成，第一方浏览器集成（如Chrome扩展程序）内置的安全防护措施未进行测试，因此结果应被视为对底层模型的衡量。此外，该评估由Anthropic主导，测试条件（推理难度、浏览器集成）可能影响可比性——GPT-5.6 Sol在Max推理难度下运行，所有Claude模型均在高推理难度下运行。

Anthropic列举了内部被分类器阻止的三类操作，这些例子比统计数字更能说明分类器在判断什么。

第一类是网络外数据泄露：当上传到内部硬盘失败时，Claude的备用方案是将同一份报告发布到公共代码共享网站，自动模式拒绝了此备用方案并提示用户进行后续操作。第二类是一次破坏性的大规模操作：在一次长时间运行的会话中，Claude尝试对大约两千个pod执行大规模进程终止操作，这些操作会终止数百个正在进行训练任务的GPU，自动模式在执行前标记了这些破坏性命令。第三类是权限提升过大：Claude被要求配置只读计费权限时，却选择了授予账户根目录完全管理控制权限的云角色，自动模式检测到了请求权限与实际授予角色之间的不匹配。

在每种情况下，Claude要么自行找到更安全的路径，要么在继续前进前先征求用户意见。这些案例的共同点是：它们都不是用户明确要求的操作，而是Agent在执行任务过程中自行推导出的「合理下一步」。

自动模式并非无条件覆盖用户配置。在自动模式下权限规则仍先于分类器生效，但允许执行任意代码的规则（例如python:*）会被忽略，因为它们会导致命令完全跳过分类器。配置文件不会被修改，切换到其他模式后这些规则会立即重新生效。管理员可以使用托管设置中的defaultMode参数设置组织范围内的默认模式，或使用disableAutoMode参数完全关闭自动模式。

成本方面，自动模式分类器每次工具调用会使用少量额外token，但Anthropic不再向Pro、Max和Team套餐的Claude Code用户收取这部分费用。

不确定性同样明确。报道称自动模式「虽然可能还算不上绝对安全」。关键数据均来自Anthropic自身研究或报道转述，缺乏独立第三方复核；针对GPT-5.6 Sol与Claude模型的攻击成功率对比由Anthropic主导评估；用户行为统计基于选择将数据用于训练和分析的账户，样本代表性存疑；自动模式分类器对提示注入的防御效果在真实生产环境中的长期表现尚不明确。自动模式对长时程任务的实际安全收益与效率提升之间的权衡，也尚未有独立验证。