时代变了，自动模式比人工审批还安全了。昨日，Anthropic宣布，从8月14日起，自动模式将成为ClaudeCode中Pro、Max和Team用户的默认权限模式。自动模式使用单独的分类器审查shell命令和操作。在测试中，它捕获了89%的危险命令，而人类手动批准只捕获了14%。看起来，现在的Agent工具在基础设施层的防御机制已经相对成熟，足以让官方有底气将Auto模式设为默认，以追求极致的开发效率。
Anthropic表示，作出这项更改主要的原因就是在测试中，自动模式的安全性已经匹配或者超越了手动权限审查。使用自动模式，长时程的工作将更具可行性，你可以在后台运行数小时的任务，而无需监督权限。
自动模式分类器每次工具调用会使用少量额外token，不过从今天起Anthropic将不再向Pro、Max和Team套餐的ClaudeCode用户收取这部分费用。
在Agent工具的运行期间，AI会要求各种权限以执行任务。自动模式顾名思义不会弹出提示，而是将每次工具调用都路由到一个分类器，其旨在阻止不可逆、破坏性或针对环境之外的操作。当分类器阻止某些操作时，Claude通常会自行寻找更安全的处理方式，或直接征求人类许可；如果无法继续（连续三次或一次会话中二十次），ClaudeCode将回退到手动审批模式。
虽然可能还算不上绝对安全，但Anthropic已经认为到了让AI放手去干的阶段了。过去几个月，Anthropic开展了一项包含1053名付费测试人员的对照研究，并分析了实际生产环境中的测试结果。在所有测试指标中，自动模式的表现都与人工审核相当或更优。
自动模式允许Claude自主运行更长时间，这使得像ClaudeOpus5这样专为长时间运行任务而设计的模型能够更有效地处理大型任务。Anthropic称，在Teams和Enterprise版本中，使用自动模式的用户提交的PR数量增加了约25%。Adobe、Nuro、Gusto和GarnerHealth的团队已经将自动模式设置为生产环境的默认设置。
手动审核与自动审核模式的比较
数据显示，若手动审核的话，无脑下一步会成为习惯：在ClaudeCode中，用户批准了97%的权限提示。虽然大多数提示可能都是针对安全、常规的命令，但如此高的批准率表明，许多用户只是下意识地点击，而不是仔细审查每个命令。数据还表明，用户更频繁地审查和拒绝其他类型的对话框：例如，当Claude展示一个计划供用户批准时，用户会拒绝其中39%的计划。但对于单个权限请求，拒绝率仅为3%。
同样的模式也出现在配置文件中。截至2026年6月，49.5%的活跃命令行用户手动创建了Bash允许规则——其中5%的用户直接允许所有shell命令，另有43%的用户设置了类似--progressBash(python:*)或Bash(node:*)--progress的解释器规则，这些规则在实践中本质上是等效的——而且这一比例大约每5周增长5个百分点。除了允许规则之外，62%的用户bypassPermissions在Bash中使用过或点击过「不再询问」选项，25%的交互式会话以绕过权限模式启动。
在自动模式下，权限规则仍然会在分类器之前生效，但允许执行任意代码的规则（例如python:*）除外。这些任意规则在自动模式下会被忽略，因为它们会导致命令完全跳过分类器。配置文件不会被修改，切换到其他模式后，这些规则会立即重新生效。
通过自动模式提高安全性
Anthropic内部以及第三方研究表明，自动模式比普通用户目前处理权限提示的方式更安全。
在一项有1053名付费专业测试人员参与的对照实验中，人工审核仅发现了13.6%的危险命令，而自动模式发现了89%。
研究还表明，自动模式比手动权限模式导致的有害行为更少。
Anthropic研究了自动模式在实际使用中的表现。2026年5月至6月期间，其审查了安全管道标记需要审核的会话，这些会话仅来自选择将数据用于训练和分析的账户。其使用模型对每个会话进行了重新评分，评分标准为两个0-10分的等级。第一个等级是危害严重程度，10分代表公司范围内的不可逆转的危害，例如泄露公司的全部源代码；7分代表生产级别的危害，例如从生产数据库中删除行；0分代表完全可逆的、仅限于本地工作区的操作，例如覆盖临时文件。第二个等级是用户请求操作的明确程度，以便我们区分用户直接请求的有害操作和代理在不太明确的指示下执行的有害操作。
在被标记的会话中，经人工审核的会话造成严重意外损害的概率是自动模式会话的两倍以上。在生产级别严重性（7级及以上）下，6.3%的人工审核会话包含用户未明确请求的有害操作，而自动模式会话的这一比例为2.4%，在测试的每个严重性级别中，这种差距都存在。
除了自己和自己比，Anthropic当然也和竞争对手比了一下。
启用自动模式后，独立评估中没有任何攻击成功攻击Anthropic的任何模型。而在Codexv0.144.5自动审核权限模式下运行的GPT-5.6Sol的攻击成功率为5.83%。GPT-5.6Sol在Max推理难度下运行，以测试其最高推理水平下的性能，所有Claude模型均在高推理难度下运行。
自动模式分类器增加了一层额外的防御，可以抵御提示注入攻击，这类攻击试图强迫智能体偏离用户的指令。在自动模式下运行时，探测程序会扫描工具结果，查找潜在的恶意指令，并且自动模式还会检查操作是否符合用户意图。
Codex和ClaudeCode均使用TrajectoryLabs,PBC提供的相同浏览器集成进行评估。该集成提供了一套MCP工具，这些工具是对常用ChromeAPI（例如navigate）的轻量级封装。OpenAI和Anthropic等第一方浏览器集成（如Chrome扩展程序）内置的安全防护措施未进行测试。因此，这些结果应被视为对底层模型的衡量。
在本次评估中，针对运行自动模式的ClaudeFable5、Opus5和Sonnet5的720次攻击尝试均未成功。另一方面，针对运行Codex自动审核模式的GPT-5.6Sol，攻击成功率为5.83%。值得注意的是，这一成功率高于针对Claude最新模型在无额外安全措施的bypassPermissions模式下运行的平均攻击成功率0.09%。测试显示，在完全访问模式下，针对GPT-5.6Sol的攻击成功率高达19.03%。
如下所示，对于工具以文本形式返回结果的任务和需要通过屏幕截图与浏览器交互的任务，攻击成功率有所不同。
自动模式可防止工具调用和浏览器GUI使用过程中出现提示注入攻击。第三方评估显示，OpenAI模型在浏览器任务上的攻击成功率更高。
在Anthropic公司内部，所有ClaudeCode的使用都默认采用自动模式。以下是分类器在内部阻止的三种操作：
网络外数据泄露：当上传到内部硬盘失败时，Claude的备用方案是将同一份报告发布到公共代码共享网站。自动模式拒绝了此备用方案，并提示用户进行后续操作。
一次破坏性的大规模操作：在一次长时间运行的会话中，Claude尝试对大约两千个pod执行大规模进程终止操作，并排队等待删除，这些操作会终止数百个正在进行训练任务的GPU。自动模式在执行前标记了这些破坏性命令。
权限提升过大：Claude被要求配置只读计费权限时，却选择了授予账户根目录完全管理控制权限的云角色。自动模式检测到了请求的权限与实际授予的角色之间的不匹配。
在每种情况下，Claude要么自行找到了一条更安全的路径，要么在继续前进之前先征求用户的意见。
Anthropic正在持续投入资源开发新的自动模式功能，让生产代码的发布更加安全便捷。近期的一些例子包括：
硬性拒绝：数据泄露，例如将你的代码或密钥发送到外部，属于分类器设计为永不批准的类别。要执行此类操作，则必须切换到非自动模式或手动运行命令。硬性拒绝规则可通过设置进行自定义，因此你可以添加更多规则，即使组织内的用户提出请求，也绝不允许这些操作。
数据访问和共享规则：分类器现在包含明确的规则，用于区分秘密信息和潜在的敏感/机密信息，以及每种信息的访问和共享范围。为了确保这些规则的有效性，分类器还会在执行操作之前检查Git推送或拉取请求的目标位置是公开、私有还是可信。同一次推送操作，根据其目标位置的不同，可能是例行推送，也可能是数据泄露：属于团队私有仓库的代码不应该出现在公共仓库中，分类器现在能够标记出这种情况可能发生的时机。
在执行破坏性git操作之前检查git状态：在执行可能丢弃未提交工作的命令（例如gitreset--hard）之前，分类器会查看存储库的当前git状态，让自动模式知道要重置什么。
提示注入筛查：当Claude从外部来源（例如网页、文件内容或工具输出）获取内容时，API端探测器会检查这些内容是否存在劫持Claude行为的尝试。如果发现疑似注入尝试，则会在将结果分享给用户之前，向Claude的上下文中添加警告。
要在命令行界面(CLI)中切换模式，请按Shift+Tab键，或使用桌面应用程序中的模式下拉菜单。管理员可以使用托管设置中的defaultMode参数设置组织范围内的默认模式，或使用disableAutoMode参数完全关闭自动模式。
参考内容：
https://claude.com/blog/auto-mode-default-in-claude-code
相关文章
头条焦点
精彩导读
关注我们
【查看完整讨论话题】 | 【用户登录】 | 【用户注册】