Anthropic研究揭示：Claude Code旧版权限提示97%被机械通过

Anthropic 在正式发布这个结论之前，针对 1,053 名测试者进行了一项研究——大多数工具从来不会对自己权限模型做这种诚实的自我审视：Approval Prompt 并没有起到预期的作用，而数据证明了这一点。

在这项研究中，自动模式（Auto mode，这个分类器负责判断哪些工具调用需要人工介入）捕获了 89% 的有害操作。而人类在旧的逐条 approval prompt 下的实际拦截率只有 13.6%。更触目惊心的是：这 97% 的弹窗无论操作是安全还是危险，都被用户条件反射地点掉了。

从 8 月 14 日开始，Pro、Max 和 Team 计划的新 Claude Code 会话将从此前的"每次工具调用前都询问"切换为"经过分类器路由，仅在不可逆、破坏性或面向外部的操作时中断"。Enterprise、API 和云合作伙伴部署（Bedrock、Vertex、Foundry）目前保持自愿开启，预计本月内也会有默认切换。分类器的开销不会单独计费。

97% 这个数字才是真正值得关注的

一个权限弹窗要真正成为安全机制，前提是阅读它的人确实在逐条评估。当 97% 都被机械通过时，这个前提根本不存在。人们在点击 yes，靠的是反射——和你点掉服务条款弹窗的方式一模一样。这个弹窗是场秀，它给了监督的表象，实际上什么都没监督，而唯一一次真正需要它的时候，反射依然像往常一样放行了。

这个问题的影响范围不局限于 Claude Code。任何工具如果把动作拦在逐条人工审批后面，并指望这种审批能成为有意义的检查，都是在押注 Claude Code 刚刚承认自己输掉的那场赌局。如果你的 CI 管道、部署工具或内部 Agent 框架有一个"点击确认"的步骤但已经没人真的在看了，那么这项研究就是对你自己的审批日志进行审计后可能看到的结果的一个预览。

"不可逆、破坏性、面向外部"在实际中可能意味着什么

Anthropic 没有公布分类器的精确边界，但这些类别可以对照已经在 CI 中运行 Agent 的团队所学会手动拦截的内容来理解：

不可逆：force-push、删除数据库表、删除分支、任何接近 git reset --hard 的操作。

破坏性：批量文件删除、覆盖未提交的工作、对范围超出临时目录的目录执行 rm -rf。

面向外部：推送代码、打开或关闭 PR、向 Slack 或邮件发送消息、发布到外部服务、除了运行会话的人之外对其他人可见的任何操作。

如果你已经以固定权限模式运行 Claude Code（auto-accept、plan mode 或自定义白名单），这些变化对你没有任何影响。这只影响那些依赖默认设置的会话——而那恰恰是大多数从未动过这个设置的用户所在的会话。

分类器不是你自己。它训练的是 1,053 名测试者在总体上认为有害的行为。它没有针对你的特定代码库、你的那个看起来可以随意删除但实际不可删除的 generated/ 文件夹、或者你仓库里某一次"常规"批量删除实际会造成灾难的脚本进行训练。

89% 的捕获率是研究人群的平均水平，不是对任何个体团队影响范围的保证。一个看起来很常规的破坏性操作（比如删除一个名为 tmp 或 build 的文件夹中的文件）可能不会触发分类器，即使在你的仓库里那个文件夹是承载运行时状态的。相反，某个对你的特定设置来说非常狭窄且特定的东西，分类器从未见过，却可能被标记，而实际上它完全没问题。

如果你在具有特殊故障模式的基础设施上运行 Agent，最安全的做法仍然是锁定一个明确的权限模式，而不是信任默认分类器已经学会了你的仓库的所有边界情况。分类器减少的是你需要考虑的平均事情数量。它并没有消除你对那些属于你自己的特定事情的需要思考。

真正发生变化的是什么

这件事被包装成了 UX 改进——减少打扰、更快的 flow。更准确的描述是：Anthropic 审视了自己的审批漏斗，发现它并没有捕获任何人类不会机械通过的东西，然后把真正的判断责任从人类反射转移到了一个训练好的分类器上。考虑到文中给出的数字，这是一个更好的赌注。这并不是说这个判断现在对所有可能的仓库都做得很好，而是说它是由一个有可衡量记录的东西做出的，而不是一个没有任何记录的东西。

已经在 CI 中半自动运行 Claude Code 或跨大量 Agent 部署的团队，早就在为这个缺口构建变通方案。这次的更新是 Anthropic 在追上那些团队早已开始使用这个工具的方式，而不是新增了一种能力。

在这之前你就已经在用固定权限模式运行 Claude Code 了吗？围绕旧的 approve-every-call 默认设置，你不得不构建了哪些变通方案？