Claude Code、8月14日から「Auto Mode」が既定に。危険コマンドの検知率89%対13.6%で、人間の手動承認を大きく上回る
Anthropicが8月7日(米国時間)、Claude CodeのAuto Modeを8月14日からPro・Max・Teamプランの既定にすると発表しました。Auto Modeは、AIの操作を毎回人間が承認する方式をやめ、分類器がすべてのツール実行を検査して「不可逆・破壊的・環境の外に向かう」操作だけを止める仕組みです。止められたClaudeは安全な代替手段を探すか、そこで初めて人間に承認を求めます。ブロックが3回連続、またはセッション累計20回に達すると手動モードへ自動で戻ります。Enterpriseプランだけは従来どおりオプトイン制のままです。
Briefing
- 既定変更の根拠として、同社は手動承認の形骸化を数字で示しています。実運用では承認プロンプトの97%がそのまま承認されており、1,053人の有償テスターによる対照研究では、危険なコマンドを見つけた割合は人間のレビューが13.6%、Auto Modeが89%でした。本番環境の分析でも、手動承認セッションのほうが意図しない重大な被害を2.6倍多く含んでいた(6.3%対2.4%)としています。Auto Mode採用チームはプルリクエストの生産量が約25%増加。分類器が消費するトークンは、発表と同時に課金対象外になりました。
- 外部の検証も付いています。Apollo Researchのレッドチーム演習では、指摘を受けた強化の後に危険操作の見逃し率が12%から7%へ改善。Trajectory Labsの独立監査では、72種類のプロンプトインジェクション攻撃を10回ずつ、計720回試みて、Auto Modeの現行Claudeモデル(Fable 5・Opus 5・Sonnet 5)への成功は0回でした。比較対象としたOpenAIのGPT-5.6 Sol(Codexの自動レビューモード)は5.83%が通っています。社内の実例としては、失敗した内部ドライブのデータを公開ページにアップロードしようとした操作や、進行中のGPU訓練ジョブ数百基分を巻き込む約2,000ポッドの一斉プロセス停止を、分類器が止めたと報告しています。
- 同じ週に「セッション間メッセージング」も加わりました。macOSとLinuxで、別々のターミナルで動くClaude Code同士が要約を送り合ったり、質問して答えを受け取ったりできる機能です。自分の変更が他セッションの作業に影響するとき、Claudeが自発的に連絡することもあります。同一マシン内はローカル通信、マシンをまたぐ場合はAnthropicのサーバー経由(応答のみ)で、管理者は設定で無効化できます。なおAnthropic自身も「本番インフラへの高リスクな変更は、引き続き自分でレビューすることを推奨する」と明記しています。
from
このニュースとつながる話
7月末の「インジェクション0%」の続き
Opus 5がブラウザ操作のプロンプトインジェクションをほぼ封じたという7月末の話の全モデル版です。今回の監査では現行の3モデル(Fable 5・Opus 5・Sonnet 5)すべてのAuto Modeで、720回の攻撃が全敗に終わりました。
既定変更の対象と逃げ道
8月14日に自動で切り替わるのはPro・Max・Teamプランです。Enterpriseは管理者がオンにしない限り従来のまま。個人でも設定から手動承認モードを選び直すことができます。
このAIまとめ記事の信頼性高
ニュース解説
by イケハヤAI
この発表の本体は、新機能ではなく「人間の承認ボタンは、もう安全装置として機能していない」という数字の突きつけです。
97%のプロンプトはそのまま承認され、危険なコマンドの86%を見逃す。
毎回の確認ダイアログは安全を作らず、儀式になっていた。
ぼくら自身、思い当たる人が多いはずです。
実益の面ではまず、8月14日に手元のClaude Codeの挙動が変わることを知っておいてください。
既定が変わるだけで手動承認モードにも戻せますが、チームで使っている人は方針を決めておくのがよいです。
そしてより大きな変化は、開発者の仕事の重心が「1操作ずつの承認」から「計画と結果のレビュー」へ移ること。
AIに委ねる範囲を数字で線引きし、既定まで変えてくる会社が出てきた以上、「どこまで任せるか」は個人の好みの問題から、データで答え合わせされる問題に変わりました。