Anthropic поступово переводить Claude Code на автоматичний режим (auto mode) за замовчуванням для планів Pro, Max і Team. Зміни набудуть чинності 14 серпня. Компанія пояснює це тим, що агент, який працює без постійних запитів на підтвердження, безпечніший за людину, яка щоразу клікає «OK».
Раніше віцепрезидентка Anthropic Кет Ву та інженер-програміст Тарік Шіхіпар на конференції AI Engineer World’s Fair обговорювали цю тему, зазначаючи, що всередині Anthropic «майже кожен користується автоматичним режимом». Вони стверджували, що ризики промпт-ін’єкцій та витоку даних у цьому режимі є нижчими, ніж під час людської перевірки.
Що таке автоматичний режим
На відміну від ручного режиму, де система зупиняється перед кожною дією та запитує дозволу, автоматичний режим пропускає кожен виклик інструменту через окремий класифікатор. Цей класифікатор блокує дії, які є незворотними, руйнівними або спрямованими за межі робочого середовища користувача. Якщо класифікатор блокує команду, Claude або намагається знайти безпечніший спосіб виконати завдання самостійно, або прямо запитує користувача. Якщо прогресу немає (три блокування поспіль або двадцять за сесію), Claude Code автоматично повертається до ручного підтвердження.
Окремо працює захист від «жорстких заборон»: дії, пов’язані з виведенням даних (наприклад, надсилання коду чи секретів назовні), класифікатор не дозволяє в жодному разі — для цього потрібно вручну вимкнути автоматичний режим.
Переваги: цифри від Anthropic
Компанія наводить кілька досліджень на підтримку свого рішення:
- Контрольований експеримент на 1053 платних тестувальниках. Під час сесії один із запитів на дозвіл був замінений на явно небезпечну команду. Люди розпізнали загрозу лише у 13,6% випадків (143 зі 1053), тоді як автоматичний режим заблокував 89% (937 зі 1053). Цікаво, що чим довшою була сесія, тим гіршою ставала людська пильність — з 17% на початку до 5% після 50+ попередніх запитів, тоді як показник автоматичного режиму залишався стабільним.
- Аналіз реальних сесій за травень–червень 2026 року. Серед сесій, позначених системою безпеки для перевірки, ручне схвалення вдвічі частіше супроводжувалося серйозною ненавмисною шкодою. Рівень «промислової» тяжкості (7+ балів із 10) спостерігався у 6,3% сесій з ручним підтвердженням проти 2,4% в автоматичному режимі.
- Тест на промпт-ін’єкції від незалежної компанії Trajectory Labs. З 720 спроб атаки на моделі Claude Fable 5, Opus 5 та Sonnet 5 в автоматичному режимі не вдалася жодна. Для порівняння: у GPT-5.6 Sol у режимі Codex «Auto-review» показник успішних атак становив 5,83%, а в режимі повного доступу — 19,03%.
- Продуктивність. За даними Anthropic, користувачі автоматичного режиму серед команд та корпоративних клієнтів випускають приблизно на 25% більше pull request’ів. Це пояснюється тим, що агент може працювати без перервань годинами — наприклад, сесія Claude Opus 5, запущена ввечері, може надати готові PR вже вранці.
- Приклади з практики. Компанія навела три випадки, коли класифікатор всередині самої Anthropic зупинив: спробу опублікувати внутрішній звіт на публічному сервісі після невдалого завантаження на закритий диск; масове видалення близько двох тисяч подів із запущеними тренуваннями моделей; та надання надлишкових прав адміністратора замість запитаного доступу «лише читання» до білінгу.
Клієнти, такі як Adobe, Nuro, Gusto та Garner Health, вже використовують автоматичний режим як стандартний у своїх продакшн-процесах.
Недоліки та застереження
Попри оптимістичну статистику, у самих даних та коментарях незалежних оглядачів є низка застережень:
- 11% небезпечних дій автоматичний режим не заблокував навіть у контрольованому тесті — це означає, що повного захисту не існує.
- Класифікатор не усуває ризик, а лише знижує його. Сама Anthropic наголошує, що для критичних змін у продакшн-інфраструктурі варто й надалі перевіряти дії Claude вручну.
- Відомий дослідник Саймон Віллісон, який висвітлює цю тему, застерігає: він хотів би незалежного підтвердження заявлених 0% успішних атак. На його думку, сценарій, коли шкідливий пакет інструктує агента послідовно виконати спочатку нібито нешкідливу, а потім шкідливу команду, залишається складно покритим таким типом захисту.
- Тестування на промпт-ін’єкції проводилося через однакову браузерну інтеграцію від Trajectory Labs, а не через фірмові розширення на кшталт Chrome-плагінів Anthropic чи OpenAI. Отже, результати радше характеризують саму модель, а не повний набір захисних механізмів у конкретному продукті.
- Аналіз показав, що значна частина користувачів і так вже «клікає на автоматі»: 97% запитів на дозвіл схвалюються без роздумів, 62% хоча б раз використовували режим
bypassPermissions, а 25% інтерактивних сесій одразу стартують без перевірок. Це означає, що нинішня «ручна» модель безпеки вже й так слабка, і порівняння почасти йде не з ідеальною, а з реальною практикою.
Для Enterprise-клієнтів, користувачів Claude API, AWS, Google Cloud та Microsoft Foundry автоматичний режим поки що залишається опційним. Anthropic планує зробити його стандартом протягом найближчого місяця. Перемкнути режим вручну можна комбінацією Shift+Tab у CLI або через випадаюче меню в десктоп-застосунку.