Anthropicは8月14日より、Pro・Max・Teamプランの新規セッションにおいて「Claude Code」の自動モード(auto mode)をデフォルトに設定します。これまで別のデフォルト設定を選択していたユーザーには、自動モードへの切り替えを尋ねる通知が一度だけ表示される場合があります。
有料の専門テスター1,053人を対象とした管理実験では、人間によるレビューが危険なコマンドを検知できたのはわずか13.6%だったのに対し、自動モードは89%を検知しました。(出典: Anthropic)
Claude Enterprise、Claude API、Anthropicプラットフォーム、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundryでは、依然としてオプション扱いとなっており、管理者がこの機能を評価する時間を確保できるようになっています。Anthropicは今後1カ月間で、これらのプラットフォーム全体でも自動モードをデフォルトにする計画であり、安全性分類器の実行に必要な追加コンピュートに対する課金も停止する予定です。
自動モードは大半のユーザーにとってリスクを低減しますが、AIが操作の安全性を判断する仕組みである以上、リスクを完全になくすものではありません。同社は、本番システムや重要インフラを変更するなど、リスクの高い変更を行う際は、引き続きClaudeの操作をユーザー自身が確認するよう推奨しています。
自動モードでは、すべてのツール呼び出しが分類器を経由します。この分類器は、不可逆的または破壊的な操作や、ユーザーの環境外にあるリソースを対象とする操作をブロックするよう設計されています。分類器が操作をブロックした場合、Claudeはより安全な代替手段を見つけるか、ユーザーに承認を求めます。3回連続でブロックされた場合、またはセッション中に20回ブロックされて処理を進められない場合、Claudeは手動承認方式に切り替わります。
「自動モードが、プロンプトを次々とクリックしていく平均的なユーザーと同等か、それ以上に安全かどうかを、ここ数カ月かけて検証してきました。社内レッドチーム演習、第三者によるレッドチーム演習、プロンプトインジェクション評価、有料テスター1,053人による管理実験、そして実際の本番セッションの分析を実施しました。検証したすべての指標において、自動モードは手動レビューと同等かそれを上回る結果を示しました」と、AnthropicのテクニカルスタッフであるConner Phillippi氏は説明しています。
このモードにより、Claudeはより長時間にわたり自律的に作業できるようになり、ユーザーの負担を軽減しながら生産性を高めます。
自動モードと手動承認の比較
Anthropicによると、開発者は「Claude Code」の権限プロンプトの97%を承認しており、多くのリクエストが十分な確認のないまま承認されている実態がうかがえます。同社はまた、多くのユーザーがすでに設定を変更し、権限チェックを緩めたり回避したりしていたことも把握しています。
社内および独立した検証の結果、自動モードは手動承認よりも安全であることが判明しました。有料テスター1,053人による調査では、参加者が危険なコマンドをブロックできたのは13.6%だったのに対し、自動モードは89%をブロックしました。フラグが立てられた実際のセッションの分析でも、手動承認は自動モードと比較して、ユーザーが明示的に要求していない有害な操作につながる確率が2倍以上高いことが分かりました。
同社はAI安全性企業のApollo Researchと協力し、模擬サイバー攻撃に対する自動モードの評価を実施しました。改善の結果、分類器の攻撃見逃し率は12%から7%まで低下しました。これらの攻撃は意図的に弱点を突くよう設計されたものであり、実際の一般的な利用シーンよりも悪質な内容となっています。
プロンプトインジェクションへの対策
自動モードは、ウェブサイトや文書などのコンテンツに隠された悪意のある指示によってエージェントにユーザーの指示を無視させようとする、プロンプトインジェクション攻撃に対する防御層をさらに追加します。
Trajectory Labsによる独立評価では、自動モードで動作するClaudeモデルに対する720件のプロンプトインジェクション攻撃のうち、成功した攻撃は1件もありませんでした。同じベンチマークにおいて、Trajectory Labsは、Codexの自動レビューモードで動作するOpenAIのGPT-5.6 Solに対しては5.83%の成功率を、Codexをフルアクセスモードで動作させた場合は19.03%の成功率を記録しました。
「OpenAIやAnthropicが提供するChrome拡張機能など、ファーストパーティのブラウザ統合機能に組み込まれた保護機構については検証対象外です。そのため、この結果はあくまで基盤となるモデル自体の測定値であり、実際の運用環境に存在しうる保護機構全体を示すものではない点にご留意ください」とPhillippi氏は続けています。
Anthropic社内での自動モード活用
Anthropicは、社内のあらゆる「Claude Code」ワークフローで自動モードを使用しています。この分類器はこれまでに、ネットワーク外へのデータ漏えい、破壊的な一括操作、過度に広範な権限昇格を未然に防いできました。いずれのケースでも、Claudeはより安全な代替手段を見つけるか、さらなる操作を行う前にユーザーに承認を求めています。
同社はまた、自動モークを本番運用でより安全に使えるようにするため、強制拒否(hard denies)、データアクセス・共有に関するルール、破壊的なGit操作前のgitステータスチェック、プロンプトインジェクションのスクリーニングといった機能も導入しています。
「自動モードのおかげで、速度と制御のバランスがより安全な形になりました。繰り返し表示されるプロンプトをなくしつつ、安全性を損なうことなく生産性を高めることができました。自動モードが適切なタイミングでブロックしてくれるのが分かるので、安心してスピーディーに作業を進められます」と、GusotのソフトウェアエンジニアであるMartin Emde氏は述べています。
翻訳元: https://www.helpnetsecurity.com/2026/08/10/anthropic-claude-code-auto-mode/
