Claude Code 默认开启 auto mode：危险指令拦截率达 89%，不再收分类器费

很多程序员大概都有过这种肌肉记忆：命令行里跳出来一个权限询问弹窗，手指头还没过脑子，回车或者点「允许」就已经按下去了。

Anthropic 现在决定不再指望你的安全直觉了。8 月 7 日，Anthropic 宣布从 8 月 14 日开始，Claude Code 将在 Pro、Max 和 Team 订阅计划中默认开启自动模式（auto mode）。原本每次调用工具都要跳出来的授权确认弹窗，现在交给后台的一个专门分类器去审查。

只要命令不涉及不可逆破坏、本地破坏或者向外部环境传输数据，Claude 就可以放手一直干下去。此外，官方即日起不再对这个分类器消耗的 token 额外收费。

程序员闭眼点确定，比 AI 还不靠谱

Anthropic 敢把自动模式设为默认，是因为他们在后台看到了一组令人哭笑不得的数据。

在日常使用中，用户面对 Claude Code 的权限弹窗，点击同意的比例高达 97%。这并不是因为每次命令都很安全，纯粹是大家被频繁弹窗搞麻木了。相反，当 Claude 抛出一个整体架构方案让用户把关时，用户的拒绝率有 39%。也就是说，人在宏观决策上很有警惕性，但一到密集的细节授权上，基本就是在闭着眼睛盲点。

为了验证这一点，Anthropic 招募了 1053 名付费测试者做盲测。在正常的编码流程中，研究人员悄悄把其中一个弹窗换成了明显的危险命令。

结果人类测试者只抓住了 13.6% 的危险命令，而自动模式的拦截率达到了 89%。面对同样的危险命令，自动模式成功拦截了 800 条人类闭眼放行的操作，而人类反超模型、抓到自动模式漏网之鱼的情况只有 6 次。当会话越来越长、弹窗超过 50 次后，人类的拦截率直接从 17% 崩塌到 5%，疲劳效应极其明显。

甚至在真实生产会话的复盘中，手动审批模式下出现严重非预期危害的概率是 6.3%，而自动模式只有 2.4%。

给脱缰的脚本加一道刹车片

很多开发者为了省事，早就在本地配置文件里动了手脚。截至 2026 年 6 月，将近一半的 CLI 用户自己写了 Bash 放行规则，更有超过六成的人用过「别再问我」或者绕过权限的参数。

自动模式其实是把这种粗暴的放权收束成智能过滤。进入自动模式后，那些通配符级别的任意执行规则会被临时搁置，所有工具调用必须经过安全分类器。

如果触发了拦截，Claude 会先尝试换一种更安全的路径去完成任务，或者在这个时候才弹窗向你求助。如果一连被拦截 3 次，或者整个任务累计被拦截 20 次，Claude Code 就会老老实实退回到传统的手动审批模式。

据 Anthropic 统计，开启自动模式后，Teams 和 Enterprise 团队提交并合并的 PR 数量增加了约 25%。Adobe、Nuro、Gusto 等公司已经在生产环境中默认使用了这套机制。不过对于 Claude Enterprise、API 用户以及 AWS Bedrock、Google Cloud、Microsoft Foundry 等云平台，目前依然保持手动开启状态，给企业管理员留出审查窗口。

为什么重要

我们认为，Anthropic 这次变动最聪明的地方，在于它承认了「人机协同里的权限审批正在沦为形式主义」。当一个长程智能体每修一个 bug 都要敲三次回车时，开发者要么把终端晾在一边摸鱼，要么直接用通配符把所有安全阀门焊死。默认开启自动模式，实际上是用精细化的算法巡检，替换掉了人类因为注意力涣散而失效的审查。

对开发者来说，这意味着像 Claude Opus 5 这种适合长任务的模型终于可以真正跑通端到端工作流。丢给它一个需求，你不用坐在屏幕前当无情的「按回车机器」，生产效率提升 25% 是非常现实的回报。现在分类器的 token 费用也被免除，普通开发者完全值得在 8 月 14 日之后直接接受这个默认设置。

但隐患依然存在。分类器并不是无懈可击的盾牌。Anthropic 联合 Apollo Research 做的红队测试显示，即便经过强化，分类器在特定对抗攻击下的漏判率依然有 7%。把拦截权交给模型自身，等于把代码库的安全底线押注在了另一套概率系统上。对于涉及核心数据库和生产环境凭证的操作，完全不看屏幕的撒手不管，在目前阶段依然是相当危险的冒险。