Anthropic 認定 AI 比開發者更會攔截危險指令：Claude Code Auto Mode 預設上路

從 2026 年 8 月 14 日起，Pro、Max 及 Team 方案的新 Claude Code 工作階段將預設以自動模式（auto mode）啟動，除非用戶已手動釘選其他模式，或管理員設定了不同的政策。自動模式取代了逐項指令的人工審批提示，改由一個專屬分類器模型在執行前評估每個工具呼叫（如 Shell 指令、檔案寫入等），比對用戶的要求與環境脈絡。分類器會攔截它判定為有風險的動作，而低風險動作則可直接執行，不再中斷工作流程。

驅動這項變革的「確認疲勞」現象

Anthropic 的內部數據顯示，用戶對權限提示的批准率高達 97%，無論指令本身有多危險。這種近乎一致的批准率反映的不是審慎評估，而是習慣性的「下一步」點擊，特別是在長時間工作階段中，提示疲勞迅速加劇。在該項對照研究中，人類的拒絕率從本已偏低的 13.6% 開始，在 50 次提示後急遽降至約 5%，證實逐項審批模式會隨時間嚴重退化。

1,053 人研究：89% 自動攔截率 vs 人類拒絕率

• 人類攔截率： 在一項針對 1,053 名付費專業測試者的雙盲測試中，一個被植入的危險指令僅有 13.6% 的機率被人類攔截（1,053 人中有 143 人拒絕執行）。50 次提示後，該比率降至約 5%。
• 自動模式攔截率： 同一測試中，分類器攔截了 89% 的植入危險指令。
• 在實際生產環境中，採用人工審批的工作階段發生非預期損害的頻率是自動模式的兩倍。

殘留風險：11% 漏攔率與零提示注入攔截

• 11% 漏攔率： 分類器仍有約 11% 的機率未能攔截危險指令。
• 合成對抗性評估： 第三方紅隊演練雖然進一步降低了分類器的漏攔率，但未能完全消除錯誤。在測試中，系統未能攔截任何提示注入攻擊，不過這可能反映的是測試設計，而非系統的普遍缺陷。
• 邊緣案例： 高度新穎或經過混淆的惡意指令，若超出分類器的訓練範疇，仍屬殘留風險。

安全機制與覆寫選項

• 分類器會獨立評估每個工具呼叫——自動模式並非無條件放行。
• 用戶可在工作階段中隨時切回人工審批模式。
• 團隊與企業管理員可為整個組織釘選預設模式（手動或自動），覆寫用戶層級的預設值。
• Anthropic 的外部紅隊計畫將持續測試並強化該分類器。
• 對於企業帳戶，自動模式目前維持選用制，預計在初始推出後約一個月內改為預設。

各方案推出與定價影響

方案	8月14日是否預設？	定價影響
Pro（每月 20 美元）	是——新工作階段預設自動模式	無額外費用；Anthropic 已停止向這些方案收取分類器代幣費用
Max（每月 100–200 美元）	是	同上——分類器代幣成本已吸收
Team（每月 25–125 美元/席位）	是	同上——自動模式無額外席位費
Enterprise（每席位 20 美元 + API）	僅限選用；預計約 1 個月內改為預設	未宣布額外項目成本；分類器成本已吸收
API 用戶	不受訂閱層級變更影響；API 按代幣計量	Claude Code API 定價：Sonnet 5 為每百萬代幣 2/10 美元（促銷價至 8月31日）；企業部署平均約每天 13 美元/開發者，或每月 150–250 美元/開發者
雲端平台用戶（VS Code、JetBrains、CLI）	是——自動模式是所有 Pro/Max/Team 表面的新預設	同上——分類器代幣已包含在訂閱價格中

關鍵定價說明： Anthropic 已確認，已停止向這些方案的用戶收取自動模式消耗的額外分類器代幣費用——相關成本現已納入現有訂閱費用中。