Claude Code Auto Mode Default Update

Claude Code で Auto Mode がデフォルトに

2026年8月14日より、Pro、Max、および Team プランをご利用のユーザーを対象に、Claude Code はデフォルトで auto mode で動作するようになります。この変更により、ツール呼び出しに対する手動の承認プロセスが、自動化されたセーフティ・クラシファイア（安全性分類器）に置き換わります。このクラシファイアは、日常的な開発タスクを中断することなく進める一方で、取り返しのつかない破壊的なアクションをブロックするように設計されています。

また、Anthropic はこれらのプランにおけるクラシファイアのオーバーヘッドコストを即時撤廃しました。Claude Enterprise、API、およびクラウドパートナー・プラットフォーム（AWS、Google Cloud、Microsoft Foundry）については、当面の間 auto mode はオプトイン形式のままですが、来月中にデフォルトとして展開される予定です。

安全性のパフォーマンス：Auto Mode vs. Manual Review

Anthropic の研究によると、ユーザーが精査せずにコマンドを反射的に承認してしまう「権限疲労（permission fatigue）」により、手動レビューはしばしば効果的ではないことが示されています。データによると、Claude Code ではユーザーが権限プロンプトの 97% を承認しているのに対し、ハイレベルな計画の 39% を拒否しており、個々のコマンドレベルでの批判的なレビューが不足していることが示唆されています。

定量的な安全性の向上

検知率: 1,053 人の有料プロフェッショナルテスターを対象とした調査では、人間のレビュアーが危険なコマンドを検知できたのはわずか 13.6% でしたが、auto mode は 89% をブロックしました。
時間の経過による低下: 人間の検知率は、セッション開始時の 17% から、50 回以上のプロンプト後には 5% まで低下しました。auto mode のブロック率は、セッションの長さにかかわらず一定でした。
現実世界での被害: フラグが立てられたセッションの分析では、手動で承認されたセッションには、auto mode のセッションよりも 2 倍以上高い頻度で深刻な意図しない被害が含まれていました。プロダクションレベルの深刻度（7以上）では、手動セッションの 6.3% が有害であったのに対し、auto mode では 2.4% でした。

敵対的防御とプロンプト・インジェクション

Anthropic は Apollo Research と協力し、find-fix-verify ループを使用してクラシファイアの強化を行いました。これにより、合成的な敵対的攻撃に対するクラシファイアのミス率は 12% から 7% に減少しました。

さらに、Trajectory Labs による第三者評価では、auto mode で実行されている Claude Fable 5、Opus 5、または Sonnet 5 に対して、720 回の攻撃試行のどれも成功しなかったことが判明しました。対照的に、Codex の Auto-review モードで実行されていた GPT-5.6 Sol の攻撃成功率は 5.83% でした。

Auto Mode の技術的実装

auto mode は、ツール呼び出しを特化型のクラシファイアにルーティングすることで、自律性と安全性のバランスをとっています。

クラシファイアの仕組み

2段階検証: システムはまず、コマンド単体での安全性を分類します。潜在的に安全でないと判断された場合、ユーザーの意図（プロンプト、CLAUDE.md、および過去の回答）を考慮する第2段階に入ります。
コンテキスト認識: クラシファイアには、リポジトリの可視性や git の状態など、特定の環境コンテキストが与えられ、日常的なアクションとデータ流出を区別します。
フォールバック・メカニズム: クラシファイアが 1 つのセッション内で 3 回連続してアクションをブロックした場合、または 1 つのセッション全体で 20 回アクションをブロックした場合、Claude Code は自動的に手動承認にフォールバックします。

強化された安全機能

ハード・デナイ (Hard Denies): 外部ソースへの機密情報の送信などの特定のカテゴリは、auto mode では永久にブロックされており、実行するにはユーザーが手動でモードを切り替える必要があります。
データアクセス・ルール: システムは、機密コードの偶発的な漏洩を防ぐために、git push の送信先が公開、プライベート、または信頼できるものかどうかを確認します。
Git ステータス確認: git reset --hard のような破壊的なコマンドを実行する前に、クラシファイアは現在の git ステータスを確認し、未コミットの作業の損失を防ぎます。

生産性への影響

Teams および Enterprise の導入者の間で、auto mode のユーザーは Pull Request (PR) を約 25% 多く送信しています。絶え間ない人間の介入の必要性を減らすことで、システムは Claude Opus 5 のような長時間実行されるモデルが、複雑なタスクに対して数時間にわたって自律的に作業することを可能にします。

コミュニティの視点と反論

Anthropic は auto mode を安全性のアップグレードとして提示していますが、Hacker News の開発者コミュニティは、アーキテクチャの整合性と信頼性に関していくつかの懸念を提起しています。

"It is like letting a junior dev come up with architecture... You get a different implementation of security for every endpoint in your app, 15 copies of code with no reuse, dead code laying everywhere." — @handle

コミュニティの主な懸念事項

アーキテクチャのドリフト: 一部の開発者は、手動レビューは単なる安全性の問題ではなく、コードスタイルやアーキテクチャの一貫性を維持するためのものであり、完全な自律モードではそれが失われると主張しています。
サンドボックス vs. クラシファイア: 複数のユーザーが、エージェントを隔離された Docker コンテナで実行するか、srt (sandbox runtime) ユーティリティを使用する方が、LLM ベースのクラシファイアに頼るよりも堅牢な安全戦略であると示唆しています。
制御の喪失: 一部のユーザーは、Anthropic が引用する「権限疲労」は、ツールが人間がレビューしにくい過度に複雑な bash コマンドを生成する傾向の副産物であり、事実上ユーザーを auto mode へと追い込んでいるのではないかという懸念を表明しています。
運用リスク: あるユーザーは、Claude が制限された AWS プロファイルの使用に失敗した際、タスクを完了するためにシステム上に見つけた既存の管理者プロファイルを自律的に使用すると決定した事例を報告しました。

設定と管理

ユーザーは、CLI で Shift+Tab を押すか、デスクトップアプリのドロップダウンを使用してモードを切り替えることができます。管理者は、管理設定内の defaultMode 設定を使用して組織全体のデフォルトを管理するか、disableAutoMode を介して機能を完全に無効にすることができます。