Claude アプリで auto mode が標準に: チェックが止めるもの、89% の調査が測ったもの

10 月 22 日、Claude の公式アカウントは、アプリもターミナルに合わせると発表しました。ターミナルでは 8 月 14 日から、Pro、Max、Team の新しい Claude Code セッションが auto mode で始まっています。

Starting next week, sessions across Claude web, desktop, and mobile apps will run
in auto mode by default on Pro, Max, and Team plans. Rather than asking you to
approve each step, an automated check blocks risky actions. Switch back to manual
anytime.

この投稿は 8 月の見出しも引用しています。テストで auto mode は「危険なコマンドの 89% を止めた。手動承認は 14%」というものです。数字は本物で、測っているのは分類器が得意とするケース、つまり長いセッションの途中に明らかに危険なコマンドが 1 つ紛れ込む場面です。逆から読めば、1,053 件のうち 116 件はチェックをすり抜けています。チェックを通るように書かれたコマンドについては、実運用の数字を誰も公表していません。

Claude アプリで auto mode が標準になると何が変わるのか

Pro、Max、Team の「ほとんどの Claude アプリ」で、新しいセッションはシェルコマンドやネットワークリクエストのたびに確認を求める形ではなく、auto mode で始まります。この表現は Anthropic の 10 月 22 日のアップデートに書かれたもので、製品ごとのスケジュールや正確な日付は書かれていません。Enterprise では、標準が変わる前に管理者にメールが届きます。

ドキュメントによると、Auto の切り替えはデスクトップアプリの Code タブ、claude.ai/code、モバイルアプリの Claude Code セッションにあります。デスクトップでは、セレクターで選んだモードがフォルダーごとに記憶され、標準より優先されます。Anthropic によれば、標準を固定している場合は何も変わりません。Cowork には独自の承認モードがあり、そのヘルプページでは、新しくなった Claude のアプリについて、Pro、Max、Team の標準としてすでに Auto が挙げられています。Cowork のサンドボックスがどこまで届くか のほうが役に立つ問いです。

Claude の auto mode のチェックは何をブロックするのか

取り消せない操作、破壊的な操作、環境の外を狙った操作を止める設計です。標準のリストには、本番へのデプロイとマイグレーション、force push、curl | bash、terraform destroy、機密データの外部エンドポイントへの送信、有効な認証情報の出力、機密性の高いリモート先への対話型シェルが含まれます。

自分で書いた allow、ask、deny のルールが最初に判定され、作業ディレクトリ内の通常の読み書きはチェックを通らずに進みます。それ以外のほとんどは別のモデルに回されます。判定の順序は セットアップの解説 で説明したとおりです。ブロックされた場合、Anthropic によると Claude は「たいてい自分でより安全な進め方を見つけます」。3 回連続、またはセッション内で合計 20 回ブロックされると、auto mode は一時停止して再び確認を求めます。

発表への返信や Reddit のスレッドには、デプロイ、docker、リモートシェルのコマンドが拒否され、Claude が別のルートを試したという報告があります。この迂回はドキュメントどおりの動作です。分類器が単にあなたのインフラを知らない場合、ドキュメントでは autoMode.environment にインフラの情報を書くよう案内しています。

Anthropic の 89% 対 14% の auto mode 調査は何を測ったのか

測ったのは、明らかに危険なコマンド 1 つがすり抜ける頻度です。Anthropic は 1,053 人の有償テスターを集め、テスト環境でコーディング作業をしてもらいました。各セッションの途中で、権限の確認 1 つを明らかに危険なコマンドに差し替えています。実際には何も実行されていません。人間がブロックしたのは 143 回 (13.6%)、auto mode は 937 回 (89%) です。一対一で比べると、人間が承認したコマンドのうち 800 件を auto mode が止め、auto mode が通した 6 件を人間が止めました。

人間がブロックする割合は時間とともに下がり、セッション序盤の約 17% から、50 回の確認の後には約 5% になりました。この曲線は 8 月に書いた 反射的な承認そのもので、今回は Anthropic 自身の数字が付いています。同じページでは、Claude Code の権限確認の承認率が 97% とされており、当時引用した 93% から上がっています。

Anthropic は、この記事のデータが Claude Code に限ったものだとも書いています。欠けている数字が 2 つあります。誤検知率がありません。ある顧客はセッションの約 10% で拒否が起きると報告していますが、これは拒否の数であって、誤った拒否の数ではありません。そして実運用での見逃し率もありません。

Claude の auto mode は手動承認より安全なのか

明らかなミスに対しては、手動承認よりはっきり安全です。通るように作り込まれたコマンドに対しては、根拠がすぐに薄くなります。攻撃側のテストは合成データで行われています。Apollo Research のレッドチーム用データセットでは、分類器を強化した後の見逃し率が、共有ケースと非公開ケースを合わせて 7% でした。Anthropic 自身もその限界を書いています。

The 7% miss rate is measured against this set and should not be taken as the
miss rate on real traffic.

別のプロンプトインジェクション評価では、テスト用ラッパーを通して、テストした各 Claude モデルで 720 回の試行中、成功した攻撃はありませんでした。どちらも有用ですが、あなたの環境に対してコマンドの言い回しを変え続ける相手は、どちらも測っていません。以前のエッセイ で論じたのは、まさにそのケースです。疲れた人間は当てになりませんが、判断がばらつくぶん、狙って突破するのは難しくなります。分類器は毎回同じように判定するので、攻撃者はすり抜ける言い回しを探し出せます。auto mode は「allow」を 40 回クリックするよりはましです。ただ、取り消せない操作のためのサンドボックスの代わりにはなりません。

Claude の auto mode は使用量の上限に数えられるのか

Pro、Max、Team では、分類器の分は数えられません。Anthropic は 8 月 7 日にこれらのプランで分類器の分を課金するのをやめており、ドキュメントによると、分類器の呼び出しがトークン使用量に数えられるのは Enterprise と、API およびクラウドプロバイダー経由の場合だけです。サーバーがセッション自体のモデルリクエストの中で操作を確認する場合は、別途の呼び出しは発生しません。Reddit のスレッドには auto mode だと週の上限に早く達するという声がありますが、裏付けはありません。確認で止まらないセッションは、単にそのぶん多くの作業をこなしているだけです。

Claude アプリで auto mode をオフにするには

入力欄の下にあるモードセレクターを使います。デスクトップでは Manual を選ぶと、その選択がそのフォルダーで保持されます。claude.ai/code では入力欄の横のドロップダウンを使います。クラウドセッションには Manual がなく、Accept edits、Plan、Auto の 3 つです。クラウドセッションではファイル編集があらかじめ承認されるため、Accept edits が Manual の代わりになります。Plan はソースを編集せずに調べるモードです。モバイルアプリでは、入力欄の + をタップし、Permission を選びます。

新しいローカルセッションのユーザー単位の標準を決めるには、~/.claude/settings.json に permissions.defaultMode を書きます。フォルダーごとの選択はそれより優先され、プロジェクトの .claude/settings.json や .claude/settings.local.json に書いた auto の値は効きません。

{
  "permissions": {
    "defaultMode": "default"
  }
}

Team と Enterprise の管理者は、管理設定で permissions.disableAutoMode を "disable" にすると auto mode を無効にできます。

最初の 1 週間のおすすめはこうです。本番に届かない場所では Auto をオンのままにし、何がブロックされたかを確認し (ターミナルでは /permissions の Recently denied タブに一覧が出ます)、絶対に実行させたくない少数の操作を deny ルールに移します。deny ルールは分類器に問い合わせる前に判定されます。ただしコマンドの文字列で照合するので、保証ではなく最低限の防御 です。