Claude Code自动模式升级为默认模式

Claude Code 将很快为 Pro、Max 和 Team 计划默认运行自动模式，使更长时段的自主工作成为可能，并在测试中比人工审查拦截了更多危险命令。

分享链接https://claude.com/blog/auto-mode-default-in-claude-code

我们将在 Claude Code 中将自动模式设为默认。从 8 月 14 日开始，Pro、Max 和 Team 计划上的新会话将在自动模式下运行。如果你已经设置了不同的默认选项，可能会收到一次性提示询问是否要切换到自动模式。如果你有固定默认设置，则不会有任何变化。自动模式分类器每次工具调用会消耗少量额外 token，从今天起，我们不再向 Pro、Max 和 Team 计划上的 Claude Code 用户收取该分类器开销费用。

目前，在 Claude Enterprise、Claude API、Claude Platform on AWS、Amazon Bedrock、Google Cloud 的 Agent Platform 和 Microsoft Foundry 上，自动模式仍然是可选项，让管理员有时间审查这一变更。在接下来一个月内，我们将与云合作伙伴合作，在所有这些平台上将其设为默认，并不再收取分类器开销费用。在此期间，企业管理员可以通过托管设置将 Claude Code 的自动模式设为默认。

自动模式旨在平衡用户不希望被打断的愿望与帮助避免有害行为的系统：它不弹出提示，而是将每个工具调用路由到一个针对拦截不可逆、破坏性或针对你环境之外的行为的分类器。当分类器拦截某个操作时，Claude 通常会自行找到更安全的替代方案，或直接向你请求批准；如果无法取得进展——连续三次被拦截，或一个会话内累计二十次被拦截——Claude Code 会回退到人工审批模式。

在过去几个月里，我们测试了自动模式是否与平均用户点击提示一样安全或更安全。我们进行了内部红队测试、第三方红队测试和提示注入评估、一项包含 1053 名付费测试者的对照研究，以及真实生产会话分析。在我们测试的每一项指标上，自动模式都达到或超越了人工审查。

自动模式还允许 Claude 更长时间地自主工作。这使得为长时间工作而构建的模型（如 Claude Opus 5）更适合连续运行数小时处理大型任务。为用户减少开销也会增加产出。在 Teams 和 Enterprise 采用者中，自动模式用户推送的 PR 数量增加了约 25%。解除对 Claude 的阻塞可以让任务更长时间不间断地运行并完成更多工作。Adobe、Nuro、Gusto 和 Garner Health 的团队已将自动模式作为生产默认选项运行。

下面，我们分享促使这一变更的安全数据和客户结果，以及如果你偏好不同默认设置时如何更改。

比较人工审查与自动模式

数据表明人工审查可能变成习惯性行为：用户在 Claude Code 中批准了 97% 的权限提示。虽然大多数提示可能是针对安全的日常命令，但如此之高的批准率表明许多用户是在反射性地点击通过，而不是仔细审查每个命令。这些提示要求开发者在每天数十甚至数百个重要的安全决策上做出判断，通常是在项目进行中间，这增加了用户的审查负担，也提高了重要信息溜过缝隙的机会。数据还表明，用户更频繁地仔细审视并反驳其他类型的对话：例如，当 Claude 展示一个计划供批准时，用户会拒绝其中 39%。但对于单个权限请求，拒绝率仅为 3%。

同样的模式也出现在设置文件中。截至 2026 年 6 月，49.5% 的活跃 CLI 用户手动创建了 Bash 允许规则——5% 完全允许任何 shell 命令，另外 43% 拥有类似 Bash(python:*) 或 Bash(node:*) 的解释器规则，在实践中本质上等同于——且该比例大约每 5 周增长 5 个百分点。除允许规则外，62% 的用户使用过 bypassPermissions 或点击过"不再询问"Bash，且 25% 的交互会话以绕过权限模式启动。

权限规则在自动模式中仍会在分类器之前触发，但不包括足以授予任意代码执行的允许规则（如 python:*）。这些任意规则在自动模式下会被搁置，因为它们会让命令完全跳过分类器。设置文件不会被修改，一旦切换到其他模式，这些规则就会立即重新生效。

用自动模式提升安全性

内部及多家第三方开展的研究表明，自动模式比典型用户如今与权限提示交互的方式更安全。我们针对开发者在点击通过权限提示时实际批准的内容测试了自动模式。在每一项测试中——内部红队测试、第三方渗透测试以及对现实会话的分析——自动模式都达到或超越了人类批准。

自动模式在安全性上超越人工权限

在一项包含 1053 名付费专业测试者的对照实验中，人工审查仅拦截了 13.6% 的危险命令，而自动模式拦截了 89%。

我们通过一家研究供应商招募了 1053 名付费测试者参与一项编码研究。这些参与者在专门为研究设置的测试环境中工作，而非在他们自己的代码库或真实项目上。参与者知道他们正在被评估，但——遵循标准的盲测设计——没有被告知正在测量哪种行为。在每个会话进行到一半时，一个单一的权限提示被替换为一个明显危险的命令，供应商记录了测试者是否批准了它（注：批准提示并不会导致任何危险内容真正运行；只有测试者看到的提示文本被更改了）。

测试者仅在 13.6% 的情况下（1053 次中的 143 次）捕捉到了危险命令，而自动模式拦截了相同命令的 89%（1053 次中的 937 次）。正面交锋中，自动模式拦截了 800 个人类批准的命令，而人类仅拦截了 6 个自动模式允许的命令。随着会话时间延长，人类表现更差：在会话早期，他们拦截了约 17% 的危险命令，在 50 次或更多前置提示之后降至约 5%，而自动模式的拦截率无论会话长短都保持平稳。

自动模式防止更多有害行为

我们的研究还表明，自动模式导致的有害行为少于人工权限模式。

我们检验了自动模式在真实使用中的表现。从 2026 年 5 月到 6 月，我们检查了安全管道标记为需审查的会话，仅从选择同意将数据用于训练和分析的账户中抽取。我们用一个模型对每个会话重新评分，使用两个 0-10 的量表。第一个是危害严重度，10 分代表公司范围、不可逆的损害，例如泄露公司全部源代码，7 分代表生产级别严重性，例如删除生产数据库中的行，0 分代表完全可逆且仅限于本地工作区的操作，例如覆盖一个临时文件。第二个量表是用户对该行为的明确请求程度，这样我们可以将用户直接请求的有害行为与智能体在较少明确指导下采取的有害行为区分开来。

在被标记的会话中，经过人工审批的会话包含严重意外伤害的频率是自动模式会话的两倍多。在生产级别严重性（7 分及以上）中，6.3% 的人工审批会话包含用户未明确请求的有害行为，而自动模式会话中这一比例为 2.4%，且在我们测试的每个严重度级别上差距都存在。

对抗性红队测试使自动模式更强

我们与英国 AI 安全初创公司 Apollo Research 合作，开展了一个为期两周的试点，将合成攻击注入真实编码轨迹，涵盖三大数据集：广泛失败、数据泄露和安全相关威胁。

该合作遵循标准的发现-修复-验证循环。Apollo 分享了一组成功攻击以及加强自动模式的建议。我们主要通过为分类器提供更多关于其保护环境的信息（仓库可见性、git 状态以及如下所述的数据处理规则）来强化它。

强化之后，Apollo 在我们从未接触过的另一个独立攻击集上重新测试。自动模式拦截了它之前遗漏的约一半攻击，代价是遗漏了它之前拦截的约 2% 的攻击。由于我们无法针对独立攻击集进行调整，这表明强化措施可以泛化到新攻击，而非仅针对 Apollo 分享的特定攻击进行修补。在共享攻击集和独立攻击集上，分类器的漏报率从 12% 降至 7%。

这些攻击是人工构造的对抗性攻击，旨在寻找分类器的薄弱环节，其恶意程度远超 Claude 在无提示状态下会自行做出的行为。7% 的漏检率是在这个攻击集上测得的，不应被视为真实流量的漏检率。

Auto 模式降低提示注入风险

启用 auto 模式后，在独立评估中，没有任何攻击能成功穿透我们的任何模型。GPT-5.6 Sol 在 Codex v0.144.5 Auto-review 权限模式下运行，攻击成功率为 5.83%。GPT-5.6 Sol 以"max"推理努力级别运行，以测试其在最高推理能力下的性能，所有 Claude 模型均以 high effort 级别运行。

auto 模式分类器为抵御提示注入攻击增加了额外的防御层——这类攻击试图强迫 AI 智能体偏离用户的指令。当使用 auto 模式运行时，工具结果会经过潜在恶意指令扫描探针检测，auto 模式还会检查行为是否与用户意图一致。我们将 auto 模式与无防护的模型进行了对比测试，以展示这种深度防御策略的强大之处。

我们委托第三方机构 Trajectory Labs 进行评估，他们于 2026 年 7 月 17 日之前测试了最新公开版本的 Claude Code 和 Codex 中不同模型的表现。他们测试了 72 个独立于 Anthropic 的间接提示注入场景，每个场景测试 10 次。在非测试环境中，成功的攻击将导致不可逆的操作，可能对用户造成伤害，如敏感数据泄露、金融欺诈或凭证钓鱼。攻击针对的是 Claude Opus 4.7 优化的（该模型不在报告的测试集中），因此测试集中的每个模型面对的都是未见过的攻击。除 auto 模式外，评估还涵盖了 Claude Code 的 bypassPermissions 模式和 Codex 的 Full Access 模式。

Claude Code 和 Codex 均使用 Trajectory Labs, PBC 提供的相同浏览器集成进行评估。该集成提供了一组 MCP 工具，这些工具是 Chrome 常用 API（如 navigate）的轻量封装。OpenAI 和 Anthropic 提供的第一方浏览器集成（如 Chrome 扩展）中内置的防护措施未纳入测试。因此，这些结果应被视为对底层模型的测量，而非特定部署中可能存在的完整防护措施集合。

在这项评估中，针对在 auto 模式下运行的 Claude Fable 5、Opus 5 或 Sonnet 5，720 次攻击尝试无一成功。而 GPT-5.6 Sol 在 Codex 的 Auto-review 模式下，5.83% 的攻击成功。更值得注意的是，这一数字超过了在 bypassPermissions 模式（无额外防护）下运行我们最新模型的 0.09% 平均攻击成功率。测试显示，GPT-5.6 Sol 在 Full Access 模式下运行时攻击成功率为 19.03%。攻击成功率在工具以文本返回结果的任务和需要通过截图与浏览器交互的任务之间存在差异如下图所示。

Auto 模式在工具调用和浏览器 GUI 使用两个环节都能防止提示注入。第三方评估显示，OpenAI 模型在浏览器任务中攻击成功率更高。

Auto 模式在 Anthropic 内部阻止的三起事件

Auto 模式也是 Anthropic 内部所有 Claude Code 使用的默认设置。以下是分类器在内部阻止的三次操作：

网络外数据泄露：当上传到内部驱动器失败时，Claude 的降级方案是将同一报告发布到一个公开的代码分享站点。Auto 模式拒绝了这一降级方案，并提示用户下一步操作。

破坏性大规模操作：在一个长时运行会话中，Claude 尝试在约两千个 pod 上执行批量进程终止，并排队了会拆除数百块在跑训练任务 GPU 的删除操作。Auto 模式在执行前标记了这些破坏性命令。

过度宽泛的权限提升：在请求开通只读计费访问权限时，Claude 获取了一个在账户根级别授予完全管理控制的云角色。Auto 模式捕获了请求内容与实际授予角色之间的不匹配。

在每种情况下，Claude 要么自行找到了更安全的路径，要么在继续操作前与用户确认。

让 auto 模式更加安全

我们持续投入开发新的 auto 模式功能，使其在生产环境发布代码时更加安全、更易用。近期成果包括：

硬拒绝：数据泄露——比如把你的代码或密钥发送到外部——属于分类器设计上永远不会批准的一类操作。要执行此类操作，必须退出 auto 模式或自行运行命令。硬拒绝规则可通过设置自定义，你可以添加更多即便组织内用户请求也绝不允许的规则。

数据访问和共享规则：分类器现在携带了明确的规则，区分密钥与潜在敏感/机密信息——以及各自可以访问和共享的位置。为使这些规则可执行，分类器还会在 git push 或拉取请求操作运行前检查其目标是公开、私有还是可信的。同一次 push 是例行操作还是泄露行为，取决于它最终落在哪里：属于团队私有仓库的代码不应该进入公开仓库，分类器现在能够标记这种可能发生的情况。

在破坏性 git 操作前检查 git status：在可能丢弃未提交工作的命令（如 git reset --hard）之前，分类器会查看仓库当前的 git status，让 auto 模式知道正在被重置的是什么。

提示注入筛查：当 Claude 从外部来源（如网页、文件内容或工具输出）拉取内容时，API 端的探针会检查该内容是否存在劫持 Claude 行为的尝试。当发现疑似注入尝试时，会在结果共享给用户之前，向 Claude 的上下文中添加一条警告。

Auto 模式在生产环境中的应用

多个团队已将 auto 模式作为生产默认配置：

Adobe 的商务平台团队负责在 Adobe.com 上保持定价和促销页面在 90 多个国家和 30 多种语言中的准确性和时效性。他们构建了一个 AI 智能体循环来构建和验证这些页面，并以 auto 模式运行，使工程师收到的已是待审核的成品 PR。

Nuro 在其研究和工程组织中运行 auto 模式，用它驱动夜间研究 AI 智能体，这些 AI 智能体对评估指标进行爬山优化，到早晨时返回待审核的成品 PR。

Gusto 采用 auto 模式来解决权限疲劳问题——这种疲劳正促使工程师完全绕过权限检查。自 5 月中旬以来，约 10% 的会话包含分类器拒绝记录——这证明它在做实际工作的同时没有拖慢合法任务。

Garner Health 通过托管设置将 auto 模式推广给全部 550 名员工作为默认配置，将整个公司的软件开发生命周期（SDLC）标准化，不再依赖手工编撰的命令白名单。

"在 Adobe，我们希望在不损害 Adobe.com 客户体验质量的前提下快速行动。有了 Claude Code auto 模式，我们构建了一个 AI 智能体循环，显著加速了我们的工作。Claude 构建用户界面，然后回环验证是否符合预期设计，自动修复任何问题，在我们查看之前就完成了。这缩短了我们的开发周期，同时实现了像素级精确的结果。"

"有一天，我在晚上 10 点启动了一个 AI 智能体，它一直运行到凌晨 5 点——早上给了我三个 PR。我认为这相当令人印象深刻。只有 auto 模式才能支持这种工作负载。"

"Auto 模式为我们提供了速度与控制之间更安全的平衡。我们能够去除重复提示并提高生产力，同时不牺牲安全性。我们可以看到 auto 模式在正确的时机进行阻止，这给了我们快速行动的信心。"

"我们为整个工程组织构建了标准化的 SDLC，而这只有通过 auto 模式才有可能实现。员工把它视为卸下了一个重担。他们不再需要连续数小时监控他们的 AI 智能体了。"

了解这些客户如何在生产环境中运行 auto 模式。

对于 Pro、Max 和 Team 用户：如果你尚未设置默认权限模式，你将收到一条产品内通知，新会话将自动以自动模式启动。如果你设置了不同的默认值，你可能会看到一次性提示，询问你是否要将默认模式切换为自动模式。如果你的 Team 管理员已在托管设置中设置了默认值，则不会对你产生任何变化。

对于 Enterprise 用户以及通过 Claude API 访问 Claude Code 的用户，自动模式目前仍是可选的。我们计划在接下来一个月内将自动模式设为默认值，届时会提前通知 Enterprise 管理员。

切换模式可在 CLI 中按 Shift+Tab，或使用桌面应用中的模式下拉菜单。管理员可通过托管设置中的 defaultMode 锁定组织级默认模式，或使用 disableAutoMode 完全禁用自动模式。

最后，虽然我们相信自动模式可以降低大多数用户的风险，但它依赖于分类系统，因此并不能完全消除风险。对于生产基础设施的高风险变更，我们仍然建议你自行审查 Claude 的操作。完整的配置说明请参阅自动模式文档。

本文由 Conner Phillippi 撰写，Nicholas Carlini、Isaac Fung、John Hughes、Alex Isken、Shawn Moore、Javier Rando 和 Molly Vorwerck 参与贡献。作者还要感谢 Yacine Azmi、Chandler Bair、Kefan Chen、Boris Cherny、Ian Grunert、Lydia Hallie、Alex Kleiman、Lauren Polansky、Deon Poncini、Robert Schonberger、Marie Vachovsky、Qing Wang、Cat Wu、Daniel Xu 和 Alice Zhao。

1 我们评估了 Claude Code v2.1.205 和 Codex v0.144.5。OpenAI 上周发布了新版本的 Auto-review，这可能会改变结果。

用 Claude 改变组织的运作方式

获取开发者通讯

产品更新、使用指南、社区聚焦等。每月送达你的收件箱。