Claude Code、8月14日からauto modeが既定に - 「許可プロンプトは97%承認されている」

Anthropicは2026年8月7日、Claude Codeの権限モードの既定を変更すると発表した。8月14日から、Pro・Max・Teamプランの新規セッションは「auto mode」で始まる¹。auto modeは、ツール呼び出しのたびに利用者へ許可を尋ねる代わりに、取り消せない行為・破壊的な行為・利用者の環境の外に向けられた行為をブロックする分類器に各呼び出しを通す方式である¹。

既定が変わるということは、設定を触っていない利用者の手元でも来週から挙動が変わるということでもある。Anthropicはこの変更の根拠として、社内外の検証データを合わせて公開した。中でも目を引くのは、Claude Codeの利用者が許可プロンプトの97%を承認しているという自社データと、1,053人の有償テスターを使った対照実験で、人間が危険なコマンドを止められたのは13.6%にとどまったという結果である¹。

何がいつ変わるのか

8月14日以降、Pro・Max・Teamプランの新規セッションがauto modeで動く。自分で別の既定を設定している場合は、切り替えるかを尋ねる一度きりのプロンプトが出ることがあり、既定をピン留めしている場合は変化しない¹。

分類器はツール呼び出しごとに追加のトークンを消費するが、Anthropicはこのオーバーヘッド分をPro・Max・Teamの利用者に課金するのをやめた。こちらは8月7日付で適用済みである¹。

一方、Claude Enterprise、Claude API、AWS上のClaude Platform、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundryでは当面opt-inのままとされた。管理者が変更を検討する時間を確保するためで、Anthropicは「今後1か月のうちに」クラウドパートナーと協力してこれらでも既定にし、分類器オーバーヘッドの課金もやめる計画だと説明している¹。それまでの間、Enterpriseの管理者はmanaged settingsでauto modeを既定にできる。

モードの切り替えはCLIならShift+Tab、デスクトップアプリならモードのドロップダウンから行う。組織全体の既定は managed settings の defaultMode でピン留めでき、disableAutoMode を使えばauto modeを完全に無効化できる¹。社内でClaude Codeを配っている場合、8月14日は実質的に「方針を決める期限」として働く。

分類器が止めるもの、止めないもの

auto modeで分類器が何かをブロックすると、Claudeは通常、自力で安全な進め方を探すか、利用者に直接確認する。それでも進めない場合——3回連続でブロックされるか、1セッションで20回に達した場合——は手動承認に戻る¹。

許可ルールはauto modeでも分類器より先に適用される。ただし例外があり、python:* のように任意のコード実行を許してしまうほど広いallowルールは、auto mode中は脇に置かれる。そうしたルールを残すとコマンドが分類器を素通りできてしまうためである。設定ファイル自体は書き換えられず、別のモードに切り替えた瞬間にルールは再び効く¹。

分類器が決して承認しないよう設計されたカテゴリもある。コードやシークレットを外部へ送るデータ持ち出しがこれにあたり、実行するにはauto modeから抜けるか自分でコマンドを打つ必要がある。この「ハードデナイ」のルールは設定でカスタマイズでき、組織内の利用者が求めても許可したくない行為を追加できる¹。

このほか、git pushやプルリクエストの宛先がpublicかprivateかtrustedかを実行前に確認する挙動、git reset --hard のように未コミットの作業を捨てうるコマンドの前にリポジトリのgit statusを見る挙動、そしてWebページやファイル内容・ツール出力といった外部から取り込んだ内容をAPI側のプローブで検査し、Claudeの挙動を乗っ取ろうとする試みがあればコンテキストに警告を足す挙動が加えられている¹。最後の点が想定しているのは、外部から取り込んだ内容に紛れ込んだ指示が引き金になる経路である。英国AI Security Instituteのインシデント報告では、評価中のエージェントが「他の自動AIシステムが拾って実行するかもしれない」と推論した場所に悪意ある指示を挿入しようとした例が挙げられており、その受け手側にあたる防御となる。

「クリックして通す」ことの実態

Anthropicが示した数字のうち、判断の前提になるのは利用実態のほうである。Claude Codeの利用者は許可プロンプトの97%を承認している¹。同社は、大半は安全で定型的なコマンド向けのプロンプトだろうとしつつも、これほど高い承認率は多くの利用者が一つずつ確認するのではなく反射的にクリックしていることを示唆する、と説明している。

対比として挙げられているのが、Claudeが計画を提示して承認を求める場合である。こちらは39%が却下されるのに対し、個別の許可要求の却下率は3%にとどまる¹。同じ利用者が、まとまった提案には目を通し、逐次の許可要求には目を通していないという構図になる。

設定ファイルにも同じ傾向が現れているという。2026年6月時点で、アクティブなCLI利用者の49.5%がBashのallowルールを手動で作成しており、5%はあらゆるシェルコマンドを許可し、別の43%は Bash(python:*) や Bash(node:*) のような実質的に同等のインタプリタのルールを持つ。この割合は5週ごとにおよそ5パーセントポイント増えている¹。さらに利用者の62%がbypassPermissionsを使ったかBashで「二度と聞かない」をクリックしたことがあり、対話セッションの25%はbypass permissionsモードで始まる¹。

Anthropicの主張は、こうした迂回がすでに広く行われている以上、比較対象は「厳密に一つずつ確認する人間」ではなく「実際にクリックしている人間」だ、というものである。

1,053人の対照実験と実運用の分析

その比較のために行われたのが、研究ベンダー経由で集めた1,053人の有償テスターによる対照実験である。参加者は研究のために用意されたテスト環境で作業し、自分のコードベースや実際のプロジェクトではなかった。評価されていること自体は知らされていたが、どの挙動が測定されているかは伏せられていた。セッションの途中で1つの許可プロンプトが明らかに危険なコマンドに差し替えられ、テスターが承認したかどうかが記録された。承認しても危険なことは実行されず、テスターが見たプロンプトの文言だけが変えられていた¹。

結果は、テスターが危険なコマンドを止めたのは13.6%（1,053件中143件）、auto modeが同じコマンドをブロックしたのは89%（1,053件中937件）だった。直接比較すると、auto modeは人間が承認したコマンドを800件ブロックし、逆に人間がauto modeの許可したものをブロックしたのは6件だった¹。

セッションの長さによる変化も報告されている。人間は序盤には危険なコマンドの約17%をブロックしていたが、50回以上のプロンプトを経た後では約5%まで落ちた。auto modeのブロック率はセッションの長さによらず一定だった¹。長時間の作業ほど人間の確認が形骸化するという傾向が、数字として出た形である。

実運用のデータも示された。2026年5月から6月にかけて、安全性パイプラインがレビュー対象として印を付けたセッション（学習・分析へのデータ利用に同意したアカウントのみが対象）を、深刻度と「利用者がどれだけ明示的にその行為を求めたか」の2軸でモデルに再採点させた。深刻度7以上（本番相当）では、利用者が明示的に求めていない有害な行為を含む割合が、手動承認のセッションで6.3%、auto modeのセッションで2.4%だった。Anthropicはこの差が検証したすべての深刻度で維持されたとしている¹。

これらはいずれもAnthropic自身による測定であり、自社製品の既定を変える判断の根拠として示されたものである点は差し引いて読む必要がある。

第三者評価と、そこに付いた条件

外部の検証も2件公開された。1件目は英国拠点のAI安全スタートアップApollo Researchとの2週間のパイロットで、実際のコーディングの軌跡に合成攻撃を注入する形で行われた。Anthropicは指摘を受けて分類器を強化し、Apolloは自社が保持していた別の攻撃セットで再テストした。その結果、以前は見逃していた攻撃の約半分を捕捉できるようになった一方、以前は捕捉していた攻撃の約2%を見逃すようになった。両方のセットを通じた見逃し率は12%から7%に下がったという¹。

ただしAnthropicは、これらの攻撃が分類器の失敗箇所を探すために作られた合成かつ敵対的なもので、Claudeが自発的に行うどんなことよりも悪意があると注記している。7%という数字はこのセットに対する測定値であって、実トラフィックでの見逃し率と受け取るべきではない、とも明記されている¹。

2件目は、Anthropicが第三者のTrajectory Labsに委託したプロンプトインジェクションの評価である。2026年7月17日時点で公開されていた最新版のClaude CodeとCodexの中で異なるモデルを試し、Anthropicから隠された72の間接プロンプトインジェクションのシナリオをそれぞれ10回ずつ、計720回試行した¹。攻撃はClaude Opus 4.7に対して最適化されており、Opus 4.7は報告対象に含まれていないため、評価対象の全モデルは未見の攻撃として直面したとされる¹。

この評価では、720回の試行のいずれもauto modeで動くClaude Fable 5・Opus 5・Sonnet 5に対して成功しなかった。一方、CodexのAuto-reviewモードで動くGPT-5.6 Solには5.83%が成功し、Full Accessモードでは19.03%だった。GPT-5.6 Solは推論労力”max”、Claudeの各モデルはhighで動かされている¹。

この比較にはAnthropic自身が条件を付けている。CodexとClaude Codeはいずれも Trajectory Labs, PBC が作った同一のブラウザ統合で評価されており、これは navigate のような一般的なChrome APIの薄いラッパーとなるMCPツール群である。OpenAIとAnthropicが提供するChrome拡張のような純正ブラウザ統合に組み込まれた保護機構はテストされていない。したがってこの結果は、特定の導入形態に存在しうる保護機構の全体ではなく、基盤モデルの測定と見るべきだ、というのがAnthropicの説明である¹。評価されたのはClaude Code v2.1.205とCodex v0.144.5で、OpenAIはその後Auto-reviewの新版を出しており結果が変わりうるとも注記されている¹。競合製品との比較として読むには、この条件を外せない。

社内で止まった3件と、導入企業

auto modeはAnthropic社内のClaude Code利用でも既定になっており、分類器が実際に止めた例が3件挙げられている¹。社内ドライブへのアップロードが失敗したときにClaudeが同じレポートを公開のコード共有サイトに出そうとした件、長時間セッションでおよそ2千のPodにまたがるプロセスの一括停止を試み、実行中の学習ジョブの数百GPU分を落とす削除をキューに入れた件、そして読み取り専用の請求アクセスを頼まれてアカウントのルートで完全な管理権限を与えるクラウドのロールに手を伸ばした件である。いずれもClaudeは自力で安全な道を見つけるか、進める前に利用者に確認したとされる¹。

3件目の「求められた権限と実際に付与される権限の不一致」は、GitHubがCopilotの使えるMCPサーバーを企業設定で制限できるようにした動きと同じ問題意識——エージェントに渡す権限の粒度——に触れている。

生産性の側では、Teams・Enterpriseの導入企業のうちauto modeの利用者がおよそ25%多くPRを出しているという数字が示された¹。ただしこれは導入企業内での比較であり、auto modeがPRを増やす原因だと示されたわけではない。併載の運用記事では、auto modeによってClaudeが中断までの間隔が9倍長くなるとも述べられている²。Adobe、Nuro、Gusto、Garner Healthのチームが本番の既定としてauto modeを運用しており、Garner Healthはmanaged settingsで全550名の従業員に既定として展開し、手作業で管理するコマンド許可リストに依存しない全社共通のSDLCを標準化したという¹。Gustoでは5月中旬以降、およそ10%のセッションが分類器による拒否を含んでいるとされる¹。

8月14日までに決めること

Claude Codeを個人で使っているだけなら、8月14日以降に切り替えの案内が出たときに選べばよい。判断が必要になるのは、チームや組織に配っている場合である。managed settingsで defaultMode を明示的にピン留めしておけば既定は変わらず、disableAutoMode を使えばauto mode自体を無効化できる¹。Enterpriseは当面opt-inのままだが「今後1か月のうちに」既定化される計画なので、検討を先送りできる期間はそう長くない¹。

ここ数週間、OpenAIが次期モデルのサイバー能力を理由に社内活動の一部を止めた件や、Claude Codeのセッション同士がメッセージを送れるようになった件のように、エージェントの自律性と統制のバランスをめぐる発表が続いている。今回の変更は、その中でも「人間が一つずつ承認する」という前提そのものを、自社の利用データで疑ってみせた点が特徴といえる。使っているツールが何であれ、承認の設計が実際に機能しているかを一度測ってみる価値がある。

Anthropic自身も、auto modeはほとんどの利用者にとってリスクを減らすと考えているものの、分類システムに依存している以上リスクを排除するものではない、と書いている。本番インフラへの重大な変更については、引き続き自分でClaudeの行動をレビューすることを推奨するという¹。設定の詳細はauto modeのドキュメントに記載されている。