Claude Code Auto Mode 将于2026年8月14日成为 Pro、Max 和 Team 用户的默认权限模式，取代手动审批提示，转而采用一个分类器，Anthropic 称该分类器可捕捉89%的危险命令，而人工审核员仅能捕捉13.6%——这一说法遭到独立研究人员质疑。

Anthropic 推行默认切换的依据是一项针对1,053名付费专业测试者的受控研究：人工审核员仅捕捉到13.6%的危险命令，而自动模式的分类器捕捉到了89%^[1]。在直接对比中，自动模式阻止了人类已批准的800条命令，而人类仅阻止了自动模式允许的6条命令^[1]。根本问题并非懒惰，而是疲劳：Anthropic 自身的生产数据显示，用户无论实际风险如何，批准了93%的权限提示^[2]。这一点在长时间运行的自主会话中尤为关键，因为当疲劳达到顶峰时，人工审查的依赖性最强——而此时监督最薄弱，正是智能体执行最多无监督任务的时刻。Anthropic 将此更多视为一种纠正，而非用户体验升级：持续的审批提示制造了一种监督假象，而非真正的监督。

自动模式运行双层防御机制：输入层探针筛查工具输出中的提示注入，而另一个基于 Sonnet 4.6 构建的输出层转录分类器则在执行前评估每个操作^[2]。该评估本身是分阶段进行的——首先运行一个快速的单 token 过滤器，倾向于偏向阻断，仅当快速过滤器标记异常时，才会升级到完整的链式思维推理^[2]。关键的是，分类器在架构上与执行任务的 Claude 会话是分离的：它仅看到被请求的工具调用，而非模型自身的推理路径，这一设计旨在防止 Claude 的输出说服分类器批准不安全操作。Anthropic 还报告了内部若干险些发生的事件，归功于该设计，包括阻止了将机密数据上传至公开页面的尝试，以及中止了约2,000个可能干扰正在进行的 GPU 训练任务的进程^[4]。

此次推出的最尖锐分歧并非在于自动模式是否有效，而在于其有效程度。Anthropic 将其生产环境中的漏报率定为17%^[3]，但来自香港科技大学和苏黎世联邦理工学院的研究人员进行的一项独立对抗性基准测试发现，端到端漏报率高达81.0%（95%置信区间：73.8%–87.4%），而在工件清理任务中更是高达92.9%^[3]。部分差异源于结构：研究人员发现，36.8%的状态变更操作（主要是直接文件编辑）完全绕过了分类器，而非被其误判^[3]。他们还指出，分类器依赖于基于范围的启发式规则，对广泛、大规模违规的捕捉远比对精确、单目标未经授权操作的捕捉更可靠——而真实攻击者或行为逐渐偏移的智能体更可能尝试后者。Anthropic 的反证来自第三方审计机构 Trajectory Labs，该机构进行了720次对抗性尝试，未发现一次成功入侵^[4]，但这针对的是外部攻击场景，与学术论文测试日常状态变更智能体操作的威胁模型不同，因此两项研究并非直接矛盾——但它们留下了关于自动模式在现实世界中提供多大保护的广泛未解范围。

即使暂且搁置准确性争议，自动模式也只是缩小了一部分风险面，而其他风险依然存在。Simon Willison 指出，默认允许列表仍允许如未锁定版本依赖项安装等操作，这意味着通过被攻陷的包发起的供应链攻击不会被评估命令而非来源的分类器所阻止^[5]。Anthropic 自身也承认其局限性，警告分类器无法消除风险，并建议即使在自动模式下，对高风险生产基础设施的变更仍需人工审查^[4]。还存在组织层面的脱节：由于分类器现在实际上充当了审批者而非人类，许多公司的治理和安全文档仍列明人类审查员为责任人，而实际上此人已不再参与流程^[6]。这些并未否定其核心安全改进，但重新定义了自动模式为一个更窄的修复方案，旨在捕捉明显破坏性的单一操作，而非解决自主智能体风险的通用方案。