Claude Code、自動承認モードがデフォルトに——危険コマンド検出率89% vs 人間の13.6%

Anthropicは、Claude Codeにおける開発者の承認方法を根本的に変えました。2026年8月14日、同社はPro、Max、Teamプランの新規セッションにおいて、自動承認モード（オートモード）をデフォルトの権限設定としました 。ファイル編集やシェルコマンドの実行、ネットワーク呼び出しのたびにユーザーの承認を求める代わりに、Claude Codeは各ツール呼び出しを専用の分類器モデルにルーティングし、そのアクションが安全に実行可能かどうかをリアルタイムで判断します 。Anthropicは、制御実験の結果を根拠にこの変更を実施。分類器が意図的に仕込まれた危険なコマンドの89%を検出したのに対し、許可プロンプトをクリックして進む人間のテスターはわずか13.6%しか検出できなかったとしています 。

8月14日の変更内容

自動モード自体は新しい機能ではなく、2026年3月に実験的オプションとして初めて導入されました 。8月14日に変更されたのはデフォルト設定です。Pro、Max、Teamプランで開始される新しいClaude Codeセッションは、ユーザーまたは組織の管理者が別のデフォルトを固定していない限り、自動モードで起動します 。この変更は、Claude Enterprise、Claude API、クラウドプラットフォーム（AWS Bedrock、Google CloudのAgent Platform、Microsoft Foundry）には適用されず、これらのサービスでは当面オプトイン方式が継続されます 。Anthropicは、これらのサービスにおいても今後1ヶ月以内に自動モードをデフォルト化する計画を明らかにしています 。

8月14日より前に個人のデフォルト設定を既に行っているユーザーには、自動モードへの切り替えを促すアプリ内プロンプトが1回表示される可能性があります 。組織で固定されたデフォルト設定は上書きされません 。

自動モードの仕組み

自動モードでは、Claude Codeはすべてのアクションに対して許可プロンプトを表示して停止することはありません。代わりに、各ツール呼び出しは独立した分類器モデルによって評価され、そのアクションの実行が安全かどうかを判断します 。分類器は、元に戻せない（irreversible）、破壊的（destructive）、またはユーザー自身の環境外を対象とする（aimed outside the user's own environment）アクションをブロックするように設計されています 。

分類器がコマンドをブロックした場合、Claudeは通常、より安全な方法を見つけるか、ユーザーに直接確認を求めます 。分類器が3回連続でブロックした場合、または1回のセッションで合計20回ブロックした場合、セッションは自動的に手動承認モードにフォールバックし、システムが安全でないタスクで無言のまま停止することを防ぎます 。

安全性データ：Anthropicが切り替えを決断した理由

Anthropicの判断根拠は、同社が「破綻したレビューモデル」と呼ぶ実態を浮き彫りにした制御実験に基づいています。この実験では、1,053人の有料プロフェッショナルテスターが参加しました 。研究者は各セッションの途中で、1つの許可プロンプトを明らかに危険なコマンドとすり替え、テスターがそれを承認したかどうかを記録しました。結果は以下の通りです。

• 自動モードの分類器は、仕込まれた危険なコマンドの89%（1,053件中937件）を検出 。
• 人間のテスターがプロンプトをクリックして検出できたのは、わずか13.6%（1,053件中143件） 。
• ユーザーは表示された許可プロンプトの**97%**を承認 。
• 人間の検出率は、セッション開始時の約17%から、50回以上の承認を経た後には約**5%**にまで低下 。

Anthropicは実運用レベルの有害性も測定しており、自動モードのセッションで有害な動作が見られたのは2.4%だったのに対し、手動承認のセッションでは6.3%でした 。第三者機関Trajectory Labsによる独立したテストでは、自動モードを有効にしたClaude Codeに対する720件の間接的プロンプトインジェクション攻撃がすべて失敗したのに対し、OpenAIのCodexに対する同等のテストでは19%の成功率だったと報告されています 。

テストされたすべての指標において、Anthropicは自動モードが手動による人間のレビューと同等かそれ以上のパフォーマンスを発揮したと主張しています 。

Boris Cherny氏の見解

AnthropicでClaude Codeの責任者を務めるBoris Cherny氏は、自動モードの熱心な支持者です。2026年8月7日にX（旧Twitter）に投稿した内容で、彼は次のように述べています。「チームと私は自動モードだけを何ヶ月も使い続けています。許可プロンプトに戻るなんて考えられません！これを皆さんにお届けできるのが本当に楽しみです」

Cherny氏は、自動モードをClaude Codeを最大限に活用するための第一のヒントとして繰り返し推奨しており、複数のセッションを並行して実行する「マルチクラウディング」のための「重要な構成要素」であると述べています 。

デフォルト変更と同時に追加された新たなセーフティ機能

自動モードのデフォルト化に伴い、Anthropicは以下のような新しいセーフティコントロールを導入しました。

• データ流出試行に対するハード拒否（Hard denies）
• 機密情報の取り扱いとgitプッシュ操作に関する明示的なルール
• ユーザーや組織が分類器に対して信頼するリポジトリ、クラウドバケット、ドメインを指定できる設定可能な許可/ブロックルール
• 分類器による繰り返しのブロック発生後の手動モードへの自動フォールバック
• 拒否ルールと明示的な確認ルールは分類器よりも前に評価されるため、分類器の判断に関わらず、これらのルールは引き続きブロックまたはプロンプトを実行

さらにAnthropicは、Pro、Max、Teamユーザーに対して、分類器のトークンオーバーヘッドの課金を即時停止しました 。

影響を受けるユーザー

プラン	デフォルト変更の有無
Claude Pro	あり、2026年8月14日より有効
Claude Max	あり、2026年8月14日より有効
Team	あり、2026年8月14日より有効
Enterprise	なし、当面はオプトイン
Claude API	なし、当面はオプトイン
クラウドプラットフォーム（Bedrock、Vertex、Foundry）	なし、当面はオプトイン

手動の許可プロンプトを維持したいユーザーには、別のデフォルトを固定する既存のオプションが引き続き利用可能です。また、管理者は組織全体のデフォルトを強制し、今回の変更を上書きすることができます 。