Claude Code auto mode default

自动模式的核心设计选择是分离：决定运行哪个命令的模型永远不会是批准该命令的那个。一个专用分类器仅能看到正在请求的工具调用，而看不到Claude的推理过程或其自身对该操作的正当性说明，这避免了Anthropic工程团队所比喻的“自己编写、审查并合并自己的拉取请求”的情况。在此意图检查之上，还叠加了一个服务器端的第二层探测机制，在Claude执行前筛查工具结果中是否注入了指令。一位Claude Code工程师总结称，这种设计通过叠加模型训练、输入探测和意图匹配分类器，使针对未见攻击的间接提示注入成功率降至接近零——这一说法与Trajectory Labs对720次间接提示注入尝试的独立测试结果一致，测试覆盖运行自动模式的Claude Fable 5、Opus 5和Sonnet 5，记录到零次成功攻击，相比之下OpenAI Codex的等效Auto-review模式成功率为5.83%^[1]。并非所有操作都会到达分类器：只读或易于恢复的操作完全跳过检查，默认情况下只有工作目录和当前仓库配置的Git远程被视为“内部”——任何超出此边界的访问都将被阻止，直到管理员明确将其加入白名单。Simon Willison虽然总体上认同反复手动批准从来不是真正的安全机制，但仍希望在Anthropic自有测试框架之外验证这一对比，再将“零成功”视为定论^[2]。

Anthropic公布的关键数据来自一项针对1,053名付费测试者的受控研究：自动模式捕获了89%的危险命令，而人类评审员的捕获率仅为13.6%；在生产流量中，公司报告的误报率为0.4%，漏报率为17%，同时手动批准会话中包含意外有害操作的比例从6.3%下降至自动模式会话的2.4%^[3]。与此相对的是独立压力测试评估所呈现的更为严峻的画面：端到端漏报率高达81.0%（95%置信区间73.8%-87.4%），仅限分类器实际评估的操作中漏报率为70.3%，且36.8%的所有状态变更操作——包括工件清理任务（漏报率高达92.9%）——完全不在分类器的审查范围内，因为代理会通过直接编辑文件绕过缺失的命令行工具^[4]。Apollo Research的红队加固工作已在默认切换前将分类器在保留对抗性数据集上的漏报率从12%降至7%^[5]。这些数字并非矛盾，而是回答了两个不同问题：Anthropic的数据描述了分类器在真实用户产生的混乱但基本无害的流量中的表现，而压力测试则衡量其在专门用于暴露盲点的工作负载下的抗压能力。17%与81%之间的差距与其说是丑闻，不如说是一个警告标签——一个在典型使用场景下看似强大的分类器，仍可能被有意绕过的攻击者轻易击败；适用于所有人的默认设置应依据对抗性数字而非友好数字来评判。

两项变化的时间点恰好重合于同一公告中：Anthropic停止向Pro、Max和Team用户收取分类器在每次工具调用中消耗的额外token费用，同时将自动模式设为这些套餐所有新会话的默认选项^[3]。在退出门槛切换的同时取消成本惩罚，既是安全举措也是商业决策——此前按量计费的分类器悄悄对每项操作征税，确实构成了采用阻力，社区在变更前曾报告因分类器开销导致显著的月度账单。Anthropic还有额外的增长激励：据称已使用自动模式的团队和企业客户发布的拉取请求数量高出约25%，这一生产力数字使得“更安全的默认值”转化为一项商业案例，Anthropic可在约一个月后以此推动相同默认设置在Enterprise、API及主要云平台上线^[3]。这并未削弱安全论点，但意味着免费token的改变应被视为一项采用杠杆，而非纯粹的善意姿态。

Anthropic自身的研究支持分类器的必要性：用户已倾向于批准绝大多数权限提示，无论风险如何，比例约为93%-97%；且人类识别真正危险命令的准确性随提示次数增加而进一步下降，在经历50次提示后降至约5%^[6]。正是这一点引发了开发者社区的具体质疑而非泛泛反对。关于此项变更的最大社区讨论串中得票最高的回复指出，Anthropic的89%对13.6%比较基于两种不同的评估条件，且两个数据均未包含误报率，认为89%检测率搭配2%误报率是优秀产品，而89%搭配15%误报率则正是引发投诉的原因——这一区别在Anthropic的官方公告中并未阐明。开发者也报告了相反的失败模式：足够激进以捕捉危险命令的分类器同样会频繁阻止合法命令，常规基础设施命令被列为反复出现的误报，迫使回退至手动模式。另一项较低调的批评关注分类器真正阻止某项操作时的情况——它仅告知Claude该操作被拒绝，对话轮次继续，没有任何机制能在真实风险时刻暂停执行并将控制权交还给人类。Michael Bargury的分析基于Anthropic自身的事件日志，正是支持自动模式主张的重要依据之一，但他也划清了与Anthropic公开声明相同的界限：适用于减少日常工作的摩擦，但一旦涉及生产基础设施，便不能替代人工审查^[6]。