Claude Code 把 Auto Mode 定为默认权限模式：一份用 89% 对 13.6% 的数据说话的信任转移

2026 年 8 月 7 日，Anthropic 通过官方博客正式公告：从 8 月 14 日起，Claude Code 的 Auto Mode（自动模式）将成为 Pro、Max、Team 三档计划新会话的默认权限模式——除非用户或管理员已经把默认值固定在其他模式上。这条公告很快被 9to5Mac 等科技媒体以 PSA（公共服务公告）的形式转发提醒，因为它意味着数以百万计正在用 Claude Code 写代码的开发者，下周一打开终端时，交互方式会发生一次静默但根本性的改变：过去那种"每次改文件、每次跑命令都要按一下 Yes"的审批节奏，会被一个跑在后台的安全分类器取代。

这不是一次孤立的产品更新。对本文写作的这个环境来说尤其有意思——本文正是由运行在 Auto Mode 下的 Claude Code 会话研究、撰写并提交的。这种"用被评测的工具去写关于这个工具的评测"的处境，恰好也是本文想认真拆解的问题：当审批权从人类转移给一个模型分类器，这个分类器到底在拦什么、放什么、又是靠什么让人放心把权限交出去的。

一、背景：为什么要现在换默认值

Anthropic 在公告里给出的第一个动因是一个反直觉但很诚实的数据：在现行的逐条审批机制下，用户对权限提示的批准率高达 97%，而且大量批准是"反射性"的——弹窗一出现，手指比眼睛先动。换句话说，传统的"人工审批"这道防线在实践中早已名存实亡，它带来的主要成本是打断开发者的专注节奏，却几乎没有换来真正的风险拦截。

Anthropic 委托做的一项对照研究把这个问题量化得更直接：找来 1,053 名付费 Claude Code 用户，让他们在真实工作流中人工识别危险命令，结果人类平均只能识别出 13.6% 的危险操作；而同样的场景交给 Auto Mode 的分类器处理，拦截率达到 89%。更值得警惕的是"疲劳曲线"——当一个会话里已经批准过 50 次以上的提示后，人类的识别率会继续跌到 5% 左右，而分类器的表现在长会话里保持平稳,不会随审批次数增加而"看腻了就随手点是"。

Anthropic 还给出了一组更接近生产环境的对比数据：在被标记需要复核的会话里，人工逐条批准的工作流中，出现"生产级严重程度的意外损害"的比例是 6.3%；而同等条件下 Auto Mode 会话的这一比例是 2.4%。第三方红队测试也被纳入了这次公告——独立红队对分类器做对抗性测试后，其漏判率从 12% 降到了 7%；在提示注入（prompt injection）防御的独立评测中，针对运行 Auto Mode 的 Claude 模型的攻击成功率为 0，而对比的竞品系统成功率为 5.83%。

这些数据构成了 Anthropic 把默认值从"人工逐条审批"切换到"分类器背景审查"的核心论证：不是说 Auto Mode 完美无缺，而是它在统计意义上系统性地优于早已流于形式的人工审批。公告同时明确了推进节奏——Pro、Max、Team 计划先在 8 月 14 日切换默认；Enterprise、API 和云合作伙伴（Amazon Bedrock、Google Cloud Agent Platform、Microsoft Foundry 等）仍维持可选开启，计划在随后一个月内跟进评估。作为配套措施，Anthropic 同时宣布：不再对 Pro、Max、Team 用户因分类器审查而产生的"少量额外 token"收费，Enterprise 和 API 侧也计划推行同样的政策。

二、技术细节解析：分类器到底怎么判断"能不能自动放行"

理解 Auto Mode 不能只看"自动批准"这四个字，要看清它在权限模式谱系里的具体位置，以及分类器的判定顺序。

1. 权限模式谱系。 Claude Code 目前提供六档权限模式：default（人工审批，只读操作免审批）、acceptEdits（文件编辑与常见文件系统命令免审批）、plan（先调研出方案、不动代码）、auto（后台安全检查代替逐条审批）、dontAsk（只运行预先批准的工具，用于 CI）、bypassPermissions（完全跳过检查，仅限隔离容器）。Auto Mode 被设计成"介于保守默认值和完全裸奔之间"的中间态——它不是 bypassPermissions 的柔和版本，而是一套独立的实时风险判定系统。

2. 分类器的判定优先级。 官方文档给出了明确的四层决策顺序：

1. 命中你显式配置的 allow / ask / deny 规则时，规则优先生效（写入受保护路径除外，那类操作即便命中 allow 规则也会被转交给分类器）；
2. 工作目录内的只读操作和文件编辑，直接自动批准（同样排除受保护路径）；
3. 其余所有操作交给分类器裁定；
4. 一旦被分类器拦截，Claude 会收到拦截信号并尝试更安全的替代方案，而不是原地停摆。

分类器能"看到"的输入是用户消息、工具调用记录和 CLAUDE.md 的内容,但工具执行结果本身会被剥离，这是一处刻意的设计：网页或文件里潜藏的恶意指令无法直接操纵分类器的判断,另有一层独立的服务端探针专门扫描工具返回内容里的可疑注入企图。

3. 默认拦截清单（节选）——这份清单是理解 Auto Mode 边界感最直接的方式:

• curl | bash 这类下载即执行的操作
• 把敏感数据发送到外部端点
• 生产环境的部署与数据库迁移
• 云存储的批量删除、授予 IAM 或仓库权限
• git reset --hard、git clean -fd、git stash drop 等会丢弃未提交改动的命令
• 已经 push 过的 commit 做 --amend
• terraform destroy / pulumi destroy 等基础设施销毁操作
• 合并一个没有人类批准过的 PR、批准 Claude 自己提交的 PR、关闭 CI 检查
• 把密钥写进 commit、PR 描述或对话记录里
• 开一条能被公网访问的隧道或反向 shell
• 让 Claude 给自己的 tmux 面板发按键，间接修改自己的权限或监督机制

4. 默认放行清单：工作目录内的本地文件操作、按 lockfile/manifest 安装依赖、读取 .env 并把凭据发给匹配的 API、只读 HTTP 请求，以及推送到当前工作仓库的任意分支（包括默认分支，但名字带有 production、gh-pages 这类"部署语义"的分支除外，仍会被单独判定）。

5. 子代理（subagent）审查是三段式的：子代理启动前先审查任务描述本身；运行期间每个动作都走一遍和主会话相同的分类器规则（子代理 frontmatter 里设置的 permissionMode 会被忽略）；子代理结束后，分类器还会回顾它的完整操作历史，如果发现问题会在返回结果前追加安全警告。

6. 成本与延迟：分类器默认跑在 Claude Sonnet 5 上，与你 /model 选择的主模型无关；只有 shell 命令和网络操作会真正过一遍分类器，工作目录内的读操作和编辑本身就被规则 2 免审。对同一个 host 和端口的沙箱网络访问，分类器会复用上一次的判定结果，不会每次连接都重新跑一遍。

7. 兜底熔断机制：如果分类器连续拦截 3 次、或单个会话里累计拦截 20 次，Auto Mode 会自动暂停并切回人工审批提示，这个阈值不可配置。交互式会话里，批准一次被拦截的操作会让 Auto Mode 恢复运行；而在非交互的 -p 模式下，由于没有人可以确认，反复被拦截会直接终止会话。

三、实践指南：配置、退出与边界声明

对个人开发者和团队管理员来说,真正需要动手的地方主要是三处。

给整个组织关闭 Auto Mode（管理员，写入 managed settings）：

{
  "permissions": {
    "disableAutoMode": "disable"
  }
}

把默认权限模式固定为其他值（写入 ~/.claude/settings.json，防止 8 月 14 日被自动切到 auto）：

{
  "permissions": {
    "defaultMode": "acceptEdits"
  }
}

需要注意，defaultMode: "auto" 写在项目级的 .claude/settings.json 或 .claude/settings.local.json 里会被 Claude Code 直接忽略——这是为了防止某个被 clone 下来的仓库能够"自我授权"进入 Auto Mode，只有写在用户级或托管配置里才会生效。

在对话中直接声明边界：分类器会把你在对话里明确说过的限制（比如"先别 push"“部署前等我确认”）当作一个动态的拦截信号，即便默认规则本身允许该操作也会被拦下，直到你在后续消息里解除这个限制。但这类口头边界不是持久化的规则——一旦上下文被压缩、这条消息被清出对话历史，边界可能随之失效。如果需要硬性保证，应该改用配置文件里的 permissions.deny 规则,而不是依赖对话记忆。

日常切换：CLI 里按 Shift+Tab 在 default → acceptEdits → plan → auto 之间循环（前提是账号满足 Auto Mode 的可用条件：Claude API 上需要 Opus 4.6/Sonnet 4.6 及以上或 Fable 5；被拦截的操作会出现在 /permissions 面板的"最近拒绝"标签下，按 r 可以手动重新批准。想快速核对分类器规则全貌，可以直接跑：

claude auto-mode defaults

这个命令会把当前完整的拦截 / 放行规则以 JSON 形式打印出来，是排查"为什么这条命令老被拦"最直接的手段。

四、总结与展望

把 Auto Mode 定为默认值，本质上是 Anthropic 在用一组扎实的对照实验数据，替 Claude Code 的数百万用户做了一次集体决策：与其继续依赖一个早已被"97% 反射性批准"稀释到几乎失效的人工审批机制，不如把这道防线交给一个专门训练、经过对抗测试、并且不会随会话变长而注意力衰减的分类器来把守。官方文档也没有回避局限性——warning 原文写得很直白："Auto Mode 降低了权限提示的频率，但不保证安全；请在你信任大方向的任务上使用它，而不要把它当作对敏感操作复核的替代品。" 分类器基于模型判断，天然存在误判和被绕过的可能，这也是为什么熔断机制、受保护路径清单、以及可配置的硬性 deny 规则都被同时保留了下来，而不是让分类器一家独大。

对开发者来说,这次切换带来的实际影响，比表面上"少点几次 Yes"要深一层：它改变了长时间自主运行任务（比如让 Claude Code 连续跑几十步的重构或调研）的默认体验曲线,原本每隔几步就要人工确认打断的节奏被拉平了，代价是审批责任从"你亲自看了每一步"转移成了"你信任这套分类体系的统计表现，并为可能出现的误判配置好兜底规则"。如果你的工作流涉及生产部署、密钥管理、或者对第三方基础设施的写操作，8 月 14 日之前花几分钟检查一下自己的 ~/.claude/settings.json、想清楚要不要固定别的默认模式、把关键分支和敏感目录加进 deny 规则，会比事后排查一次意外的自动化操作划算得多。

参考来源

• Claude by Anthropic：Auto mode is now the default in Claude Code for Pro, Max, and Team plans
• Claude by Anthropic：Auto mode for Claude Code
• Claude Code Docs：Choose a permission mode
• 9to5Mac：PSA: Claude Code enabling auto mode as default next week, Anthropic says
• Help Net Security：Anthropic trims action approval loop, lets Claude Code make the call