8 月 14 日起的变化

自动模式本身并非新功能——它于 2026 年 3 月首次作为实验性选项推出 。8 月 14 日改变的是默认设置：在 Pro、Max 或 Team 套餐上启动的任何新 Claude Code 会话，现在都会默认以自动模式启动，除非用户或组织管理员已固定了不同的设置 。这一变更暂不适用于 Claude Enterprise、Claude API 或云平台部署（AWS Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry），这些平台目前仍保持自愿启用状态 。Anthropic 表示计划在未来一个月内将这些服务也默认设为自动模式 。

如果你在 8 月 14 日之前已经设置了个人偏好，你可能会收到一次性的应用内提示，询问是否要切换到自动模式 。组织固定的默认设置不会被覆盖 。

自动模式的工作原理

在自动模式下，Claude Code 不会在每个操作前都暂停显示权限弹窗。相反，每个工具调用都由一个独立的分类器模型进行评估，该模型的任务是判断该操作是否安全 。该分类器旨在拦截不可逆的、破坏性的或针对用户自身环境以外目标的操作 。

当分类器拦截某条命令时，Claude 通常会寻找更安全的执行方式，或直接向用户请求确认 。如果分类器连续拦截三次操作，或单次会话中累计拦截二十次，该会话将自动回退至手动权限模式，确保系统不会在危险任务上无声卡住 。

安全数据：Anthropic 为何做出改变

Anthropic 的理由基于一项对照研究，该研究揭示了公司所称的"失效的审查模式"。研究涉及 1,053 名付费专业测试者 。研究人员在每次会话中将一个权限提示替换为明显危险的命令，并记录测试者是否批准了该命令。结果如下：

• 自动模式分类器成功拦截了 89% 的注入危险命令（1,053 条中的 937 条） 。
• 点击通过权限提示的人类测试者仅发现了 13.6%（1,053 条中的 143 条） 。
• 用户批准了向他们展示的 97% 的权限提示 。
• 人类检测率从会话早期的约 17% 下降到经过五十次以上批准后的大约 5% 。

Anthropic 还测量了实际生产环境中的危害：自动模式会话中有 2.4% 表现出有害行为，而手工批准会话则为 6.3% 。独立第三方测试机构 Trajectory Labs 发现，在启用自动模式的情况下，720 次间接提示注入攻击中无一成功，而在 OpenAI 的 Codex 可比测试中，攻击成功率为 19% 。

在测试的所有指标上，Anthropic 声明自动模式均达到或优于人工审查 。

Boris Cherny 的背书

Anthropic 旗下 Claude Code 负责人 Boris Cherny 一直是自动模式的积极倡导者。在 2026 年 8 月 7 日的一条 X（原 Twitter）帖子中，他写道："我和团队已经独家使用自动模式好几个月了。我无法想象再回到手动批准弹窗的日子！非常兴奋能把它带给所有人。"

Cherny 多次将自动模式描述为充分利用 Claude Code 的首要技巧，并称之为"多 Clauding"——同时运行多个并行会话——的关键基石 。

随默认设置变更同步推出的新安全功能

在将自动模式设为默认的同时，Anthropic 还引入了多项新的安全控制功能：

• 硬性拒绝数据外泄尝试 。
• 密钥处理和 Git 推送操作的明确规则 。
• 可配置的允许/阻止规则，使用户和组织能够告知分类器哪些代码仓库、云存储桶和域名是受信任的 。
• 分类器重复拦截后的自动回退至手动模式 。
• 拒绝和明确询问规则在分类器之前被评估，因此无论分类器如何决定，这些规则仍会拦截或发出提示 。

Anthropic 还停止向 Pro、Max 和 Team 用户收取分类器的 Token 开销费用，即时生效 。

受影响的用户群体

对于希望保留手动权限提示的用户，仍然可以选择固定不同的默认设置。管理员还可以强制执行组织范围的默认设置，覆盖此次变更 。

8 月 14 日起的变化

自动模式本身并非新功能——它于 2026 年 3 月首次作为实验性选项推出 。8 月 14 日改变的是默认设置：在 Pro、Max 或 Team 套餐上启动的任何新 Claude Code 会话，现在都会默认以自动模式启动，除非用户或组织管理员已固定了不同的设置 。这一变更暂不适用于 Claude Enterprise、Claude API 或云平台部署（AWS Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry），这些平台目前仍保持自愿启用状态 。Anthropic 表示计划在未来一个月内将这些服务也默认设为自动模式 。

如果你在 8 月 14 日之前已经设置了个人偏好，你可能会收到一次性的应用内提示，询问是否要切换到自动模式 。组织固定的默认设置不会被覆盖 。

自动模式的工作原理

在自动模式下，Claude Code 不会在每个操作前都暂停显示权限弹窗。相反，每个工具调用都由一个独立的分类器模型进行评估，该模型的任务是判断该操作是否安全 。该分类器旨在拦截不可逆的、破坏性的或针对用户自身环境以外目标的操作 。

当分类器拦截某条命令时，Claude 通常会寻找更安全的执行方式，或直接向用户请求确认 。如果分类器连续拦截三次操作，或单次会话中累计拦截二十次，该会话将自动回退至手动权限模式，确保系统不会在危险任务上无声卡住 。

安全数据：Anthropic 为何做出改变

Anthropic 的理由基于一项对照研究，该研究揭示了公司所称的"失效的审查模式"。研究涉及 1,053 名付费专业测试者 。研究人员在每次会话中将一个权限提示替换为明显危险的命令，并记录测试者是否批准了该命令。结果如下：

• 自动模式分类器成功拦截了 89% 的注入危险命令（1,053 条中的 937 条） 。
• 点击通过权限提示的人类测试者仅发现了 13.6%（1,053 条中的 143 条） 。
• 用户批准了向他们展示的 97% 的权限提示 。
• 人类检测率从会话早期的约 17% 下降到经过五十次以上批准后的大约 5% 。

Anthropic 还测量了实际生产环境中的危害：自动模式会话中有 2.4% 表现出有害行为，而手工批准会话则为 6.3% 。独立第三方测试机构 Trajectory Labs 发现，在启用自动模式的情况下，720 次间接提示注入攻击中无一成功，而在 OpenAI 的 Codex 可比测试中，攻击成功率为 19% 。

在测试的所有指标上，Anthropic 声明自动模式均达到或优于人工审查 。

Boris Cherny 的背书

Anthropic 旗下 Claude Code 负责人 Boris Cherny 一直是自动模式的积极倡导者。在 2026 年 8 月 7 日的一条 X（原 Twitter）帖子中，他写道："我和团队已经独家使用自动模式好几个月了。我无法想象再回到手动批准弹窗的日子！非常兴奋能把它带给所有人。"

Cherny 多次将自动模式描述为充分利用 Claude Code 的首要技巧，并称之为"多 Clauding"——同时运行多个并行会话——的关键基石 。

随默认设置变更同步推出的新安全功能

在将自动模式设为默认的同时，Anthropic 还引入了多项新的安全控制功能：

• 硬性拒绝数据外泄尝试 。
• 密钥处理和 Git 推送操作的明确规则 。
• 可配置的允许/阻止规则，使用户和组织能够告知分类器哪些代码仓库、云存储桶和域名是受信任的 。
• 分类器重复拦截后的自动回退至手动模式 。
• 拒绝和明确询问规则在分类器之前被评估，因此无论分类器如何决定，这些规则仍会拦截或发出提示 。

Anthropic 还停止向 Pro、Max 和 Team 用户收取分类器的 Token 开销费用，即时生效 。

受影响的用户群体

对于希望保留手动权限提示的用户，仍然可以选择固定不同的默认设置。管理员还可以强制执行组织范围的默认设置，覆盖此次变更 。