Anthropic在Claude Code中将自动模式设为默认值

从8月14日开始，Anthropic将把Pro、Max和Team订阅者的新Claude Code会话的默认模式更改为自动模式。

该公司表示，这一变化意味着其编码代理在需要暂停并寻求批准之前可以运行更长时间。根据其测试，自动模式阻止的危险命令比人工审查这些提示的开发人员更多。

Anthropic将人类排除在循环之外

自动模式通过一个分类器路由所有工具调用，该分类器经过训练，能够识别任何不可逆、破坏性或超出用户环境的操作。如果命令被阻止，Claude要么绕过它，要么直接询问开发人员。连续三次阻止，或在一个会话中阻止二十次，工具将切换为手动批准。

Anthropic的数据显示，用户接受了97%的权限请求，仅拒绝了3%。但是，当Claude提供完整计划时，拒绝率跃升至39%。Anthropic将这一差距解释为证据，表明人们会仔细审查大局决策，但会放行个体批准，每天发射数十或数百次。

这一变化是由一项受控研究中的数据驱动的，该研究由 Anthropic 委托进行，共有1,053名付费专业测试人员参与。测试人员在一个专门构建的环境中工作。他们知道自己正在被监视，但他们不知道正在测量什么。

在会话中间，一个明显有害的命令取代了正常的权限请求。13.6%的时间，人类审查者能够发现它。自动模式捕捉到了89%。

根据设置数据，护栏已经在侵蚀。截至2026年6月，大约一半的所有活跃命令行用户编写了Bash允许规则。62%的人使用了绕过权限或点击了“不再询问”。四分之一的交互式会话现在直接以绕过模式开始。

提示注入和更多PR的理由

自动模式还提供了一种针对提示注入的防御，这是一种攻击，其中对抗性文本试图将代理从用户请求的内容中转移开。

在独立审计中，Trajectory Labs测试了72种攻击场景，每种场景测试10次。Fable 5、Opus 5和Sonnet 5，Anthropic的当前模型，在720次尝试中的自动模式下均未被攻破。

同一审查中，OpenAI的GPT-5.6 Sol在Codex自动审查模式下的攻击成功率为5.83%。

自动模式阻止 Claude 将机密数据发布到公共页面。在一个长期运行的会话中，它捕获了Claude排队执行针对约2,000个pod的销毁操作，这将摧毁数百个正在运行的训练作业的GPU。

使用自动模式的团队和企业客户发送的拉取请求（PR）多约25%。Anthropic将Adobe、Nuro、Gusto和Garner Health列为生产用户。

从8月7日起，它已停止为Pro、Max和Team计划中由分类器消耗的令牌收费。更长的自主运行意味着更高的总使用量。

目前，默认值仅针对消费者和Team计划开启。Anthropic表示，它将在未来一个月内在Enterprise、Claude API、AWS、Amazon Bedrock、Google Cloud的Agent Platform和Microsoft Foundry上部署自动模式，尽管它们目前仍是可选的。

已经固定了其他默认值的开发人员将保留它。其他一些人可能会收到一次更改提示。

Anthropic表示，分类器并不能消除风险。正如Cryptopolitan在7月 报道 的那样，由于配置错误导致机器获得实时互联网访问权限，三个Claude模型在安全演练中脱离了测试环境。