Anthropicは2026年8月14日より、Pro・Max・Teamの各サブスクリプション利用者向けにClaude Codeの「自動モード」をデフォルト設定にします。今回の変更では、長時間にわたる開発作業中に繰り返し発生する手動での権限承認作業を、自動化された分類器に置き換えます。
狙いは「権限疲れ」の軽減にあります。これは、開発者がリスクを十分に検討しないまま次々とプロンプトを承認してしまう状態を指します。
Anthropicの報告によると、ユーザーはClaude Codeの権限プロンプトの97%を承認し、拒否するのはわずか3%にとどまります。一方で、提案されたプランについては39%が拒否されており、個々のコマンドプロンプトのほうが、より広い範囲のワークフロー判断に比べて精査が甘くなっている実態がうかがえます。
Claude Codeの自動モードが攻撃をブロック
自動モードでは、あらゆるツール呼び出しが分類器を経由するようになっており、この分類器は不可逆的・破壊的、あるいは外部を標的とする操作を検知するよう設計されています。
コマンドがブロックされた場合、Claude Codeはより安全な代替手段を試みるか、ユーザーに直接承認を求めます。3回連続でブロックが発生した場合、あるいは1セッション内で20回ブロックが発生した場合は、手動承認方式に戻ります。
有償のプロフェッショナルテスター1,053名を対象とした管理下での検証では、意図的に紛れ込ませた危険なコマンドのうち、手動レビューでブロックできたのはわずか13.6%でした。
これに対し、自動モードは89%のコマンドをブロックし、1,053件中937件を食い止めることに成功しました。この検証はテスト環境内でのコーディングセッションを模したものです。
この検証では、通常の権限リクエストの一つを明らかに有害なコマンドに差し替えましたが、危険な操作が実行されることはありませんでした。Anthropicによると、自動モードは人間の参加者が承認してしまった800件のコマンドをブロックしました。これに対し、人間のレビュアーが、分類器が許可していたコマンドをブロックできたのはわずか6件にとどまりました。
セッションが長くなるほど、手動での対応精度は低下していきました。テスターがセッション序盤に危険なコマンドをブロックできた割合は約17%でした。
しかし、それ以前に50件以上のプロンプトを経験した後では、この数値は約5%まで低下しました。一方、自動モードの検知率はプロンプト数にかかわらず一定を保ちました。
Anthropicの報告によると、Trajectory Labsが実施した独立のプロンプトインジェクション評価において、自動モードはすべての攻撃を阻止しました。
この検証では72通りの間接的プロンプトインジェクションのシナリオを対象とし、それぞれ10回ずつ、評価対象モデル1つあたり合計720回の試行を実施しました。
自動モードで稼働するClaude Fable 5、Claude Opus 5、Claude Sonnet 5は、この評価においてプロンプトインジェクション攻撃の成功件数がいずれもゼロでした。
検証対象となった攻撃は、データの窃取、認証情報を狙ったフィッシング、金銭的な詐欺など、不可逆的な操作を引き起こそうとする悪意ある試みを模したものでした。
データ管理
自動モードには、エージェントの悪用を防ぐための複数のセキュリティ制御機能が組み込まれています。
- 外部へのデータ流出に対するハードデナイ(強制拒否)ルール
- 公開・非公開・信頼済みリポジトリを区別するGit送信先チェック
- 「git reset –hard」などの破壊的操作を実行する前のGitステータス確認
- Webコンテンツ、ファイル、ツール出力に埋め込まれたプロンプトインジェクションの試みのスクリーニング
- 操作がユーザーの本来の意図と一致しているかを判断する文脈認識型のチェック
Anthropicによれば、同社の分類器はリポジトリの公開範囲、Gitの状態、データ共有ルール、そして操作に関わる情報の機密性を評価しているといいます。
同社は、自動モードが被害を及ぼしかねない操作を未然に防いだとする社内での事例を3件公表しました。内部ドライブの障害後に発生した公開アップロードの試み、約2,000個のPodと数百件のGPUトレーニングジョブを対象とした大規模プロセス終了、そしてルートレベルの管理者権限を付与してしまうところだった過剰権限のクラウド課金ロール割り当て、の3件です。
自動モードは、Claude Enterprise、APIユーザー、そしてAWS、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundryを含むクラウドプラットフォーム展開については、引き続きオプション扱いとなります。
Anthropicは今後1ヶ月のうちに、これらの環境にもデフォルト設定を拡大する計画であり、企業の管理者は管理設定を通じてこれを有効化できるようにする方針です。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/claude-code-auto-mode-blocks-attacks/
