时代变了自动模式比人工审批还安全了。昨日Anthropic 宣布从 8 月 14 日起自动模式将成为 Claude Code 中 Pro、Max 和 Team 用户的默认权限模式。自动模式使用单独的分类器审查 shell 命令和操作。在测试中它捕获了 89% 的危险命令而人类手动批准只捕获了 14%。看起来现在的 Agent 工具在基础设施层的防御机制已经相对成熟足以让官方有底气将 Auto 模式设为默认以追求极致的开发效率。Anthropic 表示作出这项更改主要的原因就是在测试中自动模式的安全性已经匹配或者超越了手动权限审查。使用自动模式长时程的工作将更具可行性你可以在后台运行数小时的任务而无需监督权限。自动模式分类器每次工具调用会使用少量额外 token不过从今天起 Anthropic 将不再向 Pro、Max 和 Team 套餐的 Claude Code 用户收取这部分费用。在 Agent 工具的运行期间AI 会要求各种权限以执行任务。自动模式顾名思义不会弹出提示而是将每次工具调用都路由到一个分类器其旨在阻止不可逆、破坏性或针对环境之外的操作。当分类器阻止某些操作时Claude 通常会自行寻找更安全的处理方式或直接征求人类许可如果无法继续连续三次或一次会话中二十次Claude Code 将回退到手动审批模式。虽然可能还算不上绝对安全但 Anthropic 已经认为到了让 AI 放手去干的阶段了。过去几个月Anthropic 开展了一项包含 1053 名付费测试人员的对照研究并分析了实际生产环境中的测试结果。在所有测试指标中自动模式的表现都与人工审核相当或更优。自动模式允许 Claude 自主运行更长时间这使得像 Claude Opus 5 这样专为长时间运行任务而设计的模型能够更有效地处理大型任务。Anthropic 称在 Teams 和 Enterprise 版本中使用自动模式的用户提交的 PR 数量增加了约 25%。Adobe、Nuro、Gusto 和 Garner Health 的团队已经将自动模式设置为生产环境的默认设置。手动审核与自动审核模式的比较数据显示若手动审核的话无脑下一步会成为习惯在 Claude Code 中用户批准了 97% 的权限提示。虽然大多数提示可能都是针对安全、常规的命令但如此高的批准率表明许多用户只是下意识地点击而不是仔细审查每个命令。数据还表明用户更频繁地审查和拒绝其他类型的对话框例如当 Claude 展示一个计划供用户批准时用户会拒绝其中 39% 的计划。但对于单个权限请求拒绝率仅为 3%。同样的模式也出现在配置文件中。截至 2026 年 6 月49.5% 的活跃命令行用户手动创建了 Bash 允许规则 —— 其中 5% 的用户直接允许所有 shell 命令另有 43% 的用户设置了类似 --progressBash (python:*) 或 Bash (node:*)--progress 的解释器规则这些规则在实践中本质上是等效的 —— 而且这一比例大约每 5 周增长 5 个百分点。除了允许规则之外62% 的用户 bypassPermissions 在 Bash 中使用过或点击过「不再询问」选项25% 的交互式会话以绕过权限模式启动。在自动模式下权限规则仍然会在分类器之前生效但允许执行任意代码的规则例如 python:*除外。这些任意规则在自动模式下会被忽略因为它们会导致命令完全跳过分类器。配置文件不会被修改切换到其他模式后这些规则会立即重新生效。通过自动模式提高安全性Anthropic 内部以及第三方研究表明自动模式比普通用户目前处理权限提示的方式更安全。在一项有 1053 名付费专业测试人员参与的对照实验中人工审核仅发现了 13.6% 的危险命令而自动模式发现了 89%。研究还表明自动模式比手动权限模式导致的有害行为更少。Anthropic 研究了自动模式在实际使用中的表现。2026 年 5 月至 6 月期间其审查了安全管道标记需要审核的会话这些会话仅来自选择将数据用于训练和分析的账户。其使用模型对每个会话进行了重新评分评分标准为两个 0-10 分的等级。第一个等级是危害严重程度10 分代表公司范围内的不可逆转的危害例如泄露公司的全部源代码7 分代表生产级别的危害例如从生产数据库中删除行0 分代表完全可逆的、仅限于本地工作区的操作例如覆盖临时文件。第二个等级是用户请求操作的明确程度以便我们区分用户直接请求的有害操作和代理在不太明确的指示下执行的有害操作。在被标记的会话中经人工审核的会话造成严重意外损害的概率是自动模式会话的两倍以上。在生产级别严重性7 级及以上下6.3% 的人工审核会话包含用户未明确请求的有害操作而自动模式会话的这一比例为 2.4%在测试的每个严重性级别中这种差距都存在。除了自己和自己比Anthropic 当然也和竞争对手比了一下。启用自动模式后独立评估中没有任何攻击成功攻击 Anthropic 的任何模型。而在 Codex v0.144.5 自动审核权限模式下运行的 GPT-5.6 Sol 的攻击成功率为 5.83%。GPT-5.6 Sol 在 Max 推理难度下运行以测试其最高推理水平下的性能所有 Claude 模型均在高推理难度下运行。自动模式分类器增加了一层额外的防御可以抵御提示注入攻击这类攻击试图强迫智能体偏离用户的指令。在自动模式下运行时探测程序会扫描工具结果查找潜在的恶意指令并且自动模式还会检查操作是否符合用户意图。Codex 和 Claude Code 均使用 Trajectory Labs, PBC 提供的相同浏览器集成进行评估。该集成提供了一套 MCP 工具这些工具是对常用 Chrome API例如 navigate的轻量级封装。OpenAI 和 Anthropic 等第一方浏览器集成如 Chrome 扩展程序内置的安全防护措施未进行测试。因此这些结果应被视为对底层模型的衡量。在本次评估中针对运行自动模式的 Claude Fable 5、Opus 5 和 Sonnet 5 的 720 次攻击尝试均未成功。另一方面针对运行 Codex 自动审核模式的 GPT-5.6 Sol攻击成功率为 5.83%。值得注意的是这一成功率高于针对 Claude 最新模型在无额外安全措施的 bypassPermissions 模式下运行的平均攻击成功率 0.09%。测试显示在完全访问模式下针对 GPT-5.6 Sol 的攻击成功率高达 19.03% 。如下所示对于工具以文本形式返回结果的任务和需要通过屏幕截图与浏览器交互的任务攻击成功率有所不同。自动模式可防止工具调用和浏览器 GUI 使用过程中出现提示注入攻击。第三方评估显示OpenAI 模型在浏览器任务上的攻击成功率更高。在 Anthropic 公司内部所有 Claude Code 的使用都默认采用自动模式。以下是分类器在内部阻止的三种操作网络外数据泄露当上传到内部硬盘失败时Claude 的备用方案是将同一份报告发布到公共代码共享网站。自动模式拒绝了此备用方案并提示用户进行后续操作。一次破坏性的大规模操作在一次长时间运行的会话中Claude 尝试对大约两千个 pod 执行大规模进程终止操作并排队等待删除这些操作会终止数百个正在进行训练任务的 GPU。自动模式在执行前标记了这些破坏性命令。权限提升过大Claude 被要求配置只读计费权限时却选择了授予账户根目录完全管理控制权限的云角色。自动模式检测到了请求的权限与实际授予的角色之间的不匹配。在每种情况下Claude 要么自行找到了一条更安全的路径要么在继续前进之前先征求用户的意见。Anthropic 正在持续投入资源开发新的自动模式功能让生产代码的发布更加安全便捷。近期的一些例子包括硬性拒绝数据泄露例如将你的代码或密钥发送到外部属于分类器设计为永不批准的类别。要执行此类操作则必须切换到非自动模式或手动运行命令。硬性拒绝规则可通过设置进行自定义因此你可以添加更多规则即使组织内的用户提出请求也绝不允许这些操作。数据访问和共享规则分类器现在包含明确的规则用于区分秘密信息和潜在的敏感 / 机密信息以及每种信息的访问和共享范围。为了确保这些规则的有效性分类器还会在执行操作之前检查 Git 推送或拉取请求的目标位置是公开、私有还是可信。同一次推送操作根据其目标位置的不同可能是例行推送也可能是数据泄露属于团队私有仓库的代码不应该出现在公共仓库中分类器现在能够标记出这种情况可能发生的时机。在执行破坏性 git 操作之前检查 git 状态在执行可能丢弃未提交工作的命令例如 git reset --hard之前分类器会查看存储库的当前 git 状态让自动模式知道要重置什么。提示注入筛查当 Claude 从外部来源例如网页、文件内容或工具输出获取内容时API 端探测器会检查这些内容是否存在劫持 Claude 行为的尝试。如果发现疑似注入尝试则会在将结果分享给用户之前向 Claude 的上下文中添加警告。要在命令行界面 (CLI) 中切换模式请按 ShiftTab 键或使用桌面应用程序中的模式下拉菜单。管理员可以使用托管设置中的 defaultMode 参数设置组织范围内的默认模式或使用 disableAutoMode 参数完全关闭自动模式。
时代变了自动模式比人工审批还安全了。昨日Anthropic 宣布从 8 月 14 日起自动模式将成为 Claude Code 中 Pro、Max 和 Team 用户的默认权限模式。自动模式使用单独的分类器审查 shell 命令和操作。在测试中它捕获了 89% 的危险命令而人类手动批准只捕获了 14%。看起来现在的 Agent 工具在基础设施层的防御机制已经相对成熟足以让官方有底气将 Auto 模式设为默认以追求极致的开发效率。Anthropic 表示作出这项更改主要的原因就是在测试中自动模式的安全性已经匹配或者超越了手动权限审查。使用自动模式长时程的工作将更具可行性你可以在后台运行数小时的任务而无需监督权限。自动模式分类器每次工具调用会使用少量额外 token不过从今天起 Anthropic 将不再向 Pro、Max 和 Team 套餐的 Claude Code 用户收取这部分费用。在 Agent 工具的运行期间AI 会要求各种权限以执行任务。自动模式顾名思义不会弹出提示而是将每次工具调用都路由到一个分类器其旨在阻止不可逆、破坏性或针对环境之外的操作。当分类器阻止某些操作时Claude 通常会自行寻找更安全的处理方式或直接征求人类许可如果无法继续连续三次或一次会话中二十次Claude Code 将回退到手动审批模式。虽然可能还算不上绝对安全但 Anthropic 已经认为到了让 AI 放手去干的阶段了。过去几个月Anthropic 开展了一项包含 1053 名付费测试人员的对照研究并分析了实际生产环境中的测试结果。在所有测试指标中自动模式的表现都与人工审核相当或更优。自动模式允许 Claude 自主运行更长时间这使得像 Claude Opus 5 这样专为长时间运行任务而设计的模型能够更有效地处理大型任务。Anthropic 称在 Teams 和 Enterprise 版本中使用自动模式的用户提交的 PR 数量增加了约 25%。Adobe、Nuro、Gusto 和 Garner Health 的团队已经将自动模式设置为生产环境的默认设置。手动审核与自动审核模式的比较数据显示若手动审核的话无脑下一步会成为习惯在 Claude Code 中用户批准了 97% 的权限提示。虽然大多数提示可能都是针对安全、常规的命令但如此高的批准率表明许多用户只是下意识地点击而不是仔细审查每个命令。数据还表明用户更频繁地审查和拒绝其他类型的对话框例如当 Claude 展示一个计划供用户批准时用户会拒绝其中 39% 的计划。但对于单个权限请求拒绝率仅为 3%。同样的模式也出现在配置文件中。截至 2026 年 6 月49.5% 的活跃命令行用户手动创建了 Bash 允许规则 —— 其中 5% 的用户直接允许所有 shell 命令另有 43% 的用户设置了类似 --progressBash (python:*) 或 Bash (node:*)--progress 的解释器规则这些规则在实践中本质上是等效的 —— 而且这一比例大约每 5 周增长 5 个百分点。除了允许规则之外62% 的用户 bypassPermissions 在 Bash 中使用过或点击过「不再询问」选项25% 的交互式会话以绕过权限模式启动。在自动模式下权限规则仍然会在分类器之前生效但允许执行任意代码的规则例如 python:*除外。这些任意规则在自动模式下会被忽略因为它们会导致命令完全跳过分类器。配置文件不会被修改切换到其他模式后这些规则会立即重新生效。通过自动模式提高安全性Anthropic 内部以及第三方研究表明自动模式比普通用户目前处理权限提示的方式更安全。在一项有 1053 名付费专业测试人员参与的对照实验中人工审核仅发现了 13.6% 的危险命令而自动模式发现了 89%。研究还表明自动模式比手动权限模式导致的有害行为更少。Anthropic 研究了自动模式在实际使用中的表现。2026 年 5 月至 6 月期间其审查了安全管道标记需要审核的会话这些会话仅来自选择将数据用于训练和分析的账户。其使用模型对每个会话进行了重新评分评分标准为两个 0-10 分的等级。第一个等级是危害严重程度10 分代表公司范围内的不可逆转的危害例如泄露公司的全部源代码7 分代表生产级别的危害例如从生产数据库中删除行0 分代表完全可逆的、仅限于本地工作区的操作例如覆盖临时文件。第二个等级是用户请求操作的明确程度以便我们区分用户直接请求的有害操作和代理在不太明确的指示下执行的有害操作。在被标记的会话中经人工审核的会话造成严重意外损害的概率是自动模式会话的两倍以上。在生产级别严重性7 级及以上下6.3% 的人工审核会话包含用户未明确请求的有害操作而自动模式会话的这一比例为 2.4%在测试的每个严重性级别中这种差距都存在。除了自己和自己比Anthropic 当然也和竞争对手比了一下。启用自动模式后独立评估中没有任何攻击成功攻击 Anthropic 的任何模型。而在 Codex v0.144.5 自动审核权限模式下运行的 GPT-5.6 Sol 的攻击成功率为 5.83%。GPT-5.6 Sol 在 Max 推理难度下运行以测试其最高推理水平下的性能所有 Claude 模型均在高推理难度下运行。自动模式分类器增加了一层额外的防御可以抵御提示注入攻击这类攻击试图强迫智能体偏离用户的指令。在自动模式下运行时探测程序会扫描工具结果查找潜在的恶意指令并且自动模式还会检查操作是否符合用户意图。Codex 和 Claude Code 均使用 Trajectory Labs, PBC 提供的相同浏览器集成进行评估。该集成提供了一套 MCP 工具这些工具是对常用 Chrome API例如 navigate的轻量级封装。OpenAI 和 Anthropic 等第一方浏览器集成如 Chrome 扩展程序内置的安全防护措施未进行测试。因此这些结果应被视为对底层模型的衡量。在本次评估中针对运行自动模式的 Claude Fable 5、Opus 5 和 Sonnet 5 的 720 次攻击尝试均未成功。另一方面针对运行 Codex 自动审核模式的 GPT-5.6 Sol攻击成功率为 5.83%。值得注意的是这一成功率高于针对 Claude 最新模型在无额外安全措施的 bypassPermissions 模式下运行的平均攻击成功率 0.09%。测试显示在完全访问模式下针对 GPT-5.6 Sol 的攻击成功率高达 19.03% 。如下所示对于工具以文本形式返回结果的任务和需要通过屏幕截图与浏览器交互的任务攻击成功率有所不同。自动模式可防止工具调用和浏览器 GUI 使用过程中出现提示注入攻击。第三方评估显示OpenAI 模型在浏览器任务上的攻击成功率更高。在 Anthropic 公司内部所有 Claude Code 的使用都默认采用自动模式。以下是分类器在内部阻止的三种操作网络外数据泄露当上传到内部硬盘失败时Claude 的备用方案是将同一份报告发布到公共代码共享网站。自动模式拒绝了此备用方案并提示用户进行后续操作。一次破坏性的大规模操作在一次长时间运行的会话中Claude 尝试对大约两千个 pod 执行大规模进程终止操作并排队等待删除这些操作会终止数百个正在进行训练任务的 GPU。自动模式在执行前标记了这些破坏性命令。权限提升过大Claude 被要求配置只读计费权限时却选择了授予账户根目录完全管理控制权限的云角色。自动模式检测到了请求的权限与实际授予的角色之间的不匹配。在每种情况下Claude 要么自行找到了一条更安全的路径要么在继续前进之前先征求用户的意见。Anthropic 正在持续投入资源开发新的自动模式功能让生产代码的发布更加安全便捷。近期的一些例子包括硬性拒绝数据泄露例如将你的代码或密钥发送到外部属于分类器设计为永不批准的类别。要执行此类操作则必须切换到非自动模式或手动运行命令。硬性拒绝规则可通过设置进行自定义因此你可以添加更多规则即使组织内的用户提出请求也绝不允许这些操作。数据访问和共享规则分类器现在包含明确的规则用于区分秘密信息和潜在的敏感 / 机密信息以及每种信息的访问和共享范围。为了确保这些规则的有效性分类器还会在执行操作之前检查 Git 推送或拉取请求的目标位置是公开、私有还是可信。同一次推送操作根据其目标位置的不同可能是例行推送也可能是数据泄露属于团队私有仓库的代码不应该出现在公共仓库中分类器现在能够标记出这种情况可能发生的时机。在执行破坏性 git 操作之前检查 git 状态在执行可能丢弃未提交工作的命令例如 git reset --hard之前分类器会查看存储库的当前 git 状态让自动模式知道要重置什么。提示注入筛查当 Claude 从外部来源例如网页、文件内容或工具输出获取内容时API 端探测器会检查这些内容是否存在劫持 Claude 行为的尝试。如果发现疑似注入尝试则会在将结果分享给用户之前向 Claude 的上下文中添加警告。要在命令行界面 (CLI) 中切换模式请按 ShiftTab 键或使用桌面应用程序中的模式下拉菜单。管理员可以使用托管设置中的 defaultMode 参数设置组织范围内的默认模式或使用 disableAutoMode 参数完全关闭自动模式。
