Anthropicが、AIコーディングツール「Claude Code」の権限まわりを大きく変える。2026年8月14日から、Pro・Max・Teamプランの新規セッションは「auto mode」が標準になる。これまで人間が押していた「許可しますか?」のボタンを、分類器と呼ばれる別のAIが肩代わりする仕組みだ。あわせて、Claude Codeのセッション同士がメッセージを送り合う機能もmacOSとLinuxに来た。
ところで、毎回の「許可しますか?」に、あなたは本当に目を通しているだろうか。Anthropicの答えは「通していない」だ。同社の対照実験では、人間が危険な操作を止められた割合は13.6%。分類器は89%だった。この数字が、今回の変更のほぼすべてを説明している。
8月14日に何が変わるか
変わるのは「新しく開くセッション」の初期設定だ。対象はPro・Max・Teamプランで、進行中のセッションはそのまま。自分でデフォルトのモードを設定してある人には一度だけ切り替えの確認が出て、断れば現状維持になる。企業向けのEnterpriseとAPI利用は当面オプトイン(自分で選んだ人だけ)だ。
もうひとつ、地味だが大きい変更がある。分類器が消費するトークンは、発表日から使用量の上限にカウントされなくなった。安全チェックのコストをユーザーに負わせない、という意思表示でもある。
claude.com Auto mode is now the default in Claude Code 一次情報。変更の対象と時期、分類器の設計、対照実験の数字が公式の言葉でまとまっている。「許可ボタン」を押すのは誰になるのか
auto modeの中身を一言でいえば、承認の担当交代だ。Claude Codeがファイルの書き換えやコマンド実行をしようとするたび、その内容を専用の分類器が検査する。止める基準は3つ。取り返しがつかないか、破壊的か、あなたの環境の外に向かうかである。
実行しようとする → 分類器が検査
(不可逆・破壊的・環境外?) → 安全なら
そのまま実行 → 危険ならブロックし
別ルート探索 or 人に確認
図: auto modeの動作。ブロックが3回連続、またはセッション内で20回に達すると従来の手動承認へ自動で切り替わる(公式ブログをもとに筆者作成)
ユーザーが設定した禁止・確認ルール(deny/ask)は分類器より先に評価される。つまり「ここだけは必ず私に聞け」という関門は、auto modeでもそのまま残せる。ブロックが続けば手動承認へ自動で戻る保険も入っている。
「人間13.6%」という不都合な実測値
今回Anthropicが公開したテスト結果は、なかなか身もふたもない。1,053人が参加した対照実験で、危険なコマンドを見抜けた割合は手動承認の人間が13.6%、auto modeの分類器が89%。そもそも人間は表示された承認プロンプトの97%を機械的に許可していた。利用規約の「同意する」を読まずに押す、あの指の動きと同じことが起きていたわけだ。
外部のTrajectory Labsによる720回のプロンプトインジェクション攻撃(埋め込んだ悪意ある指示でAIを乗っ取る手口)のテストでは、成功が0件だったという。本番環境の分析でも、意図しない被害の発生率は手動6.3%に対しauto mode 2.4%。数字の上では、人間の目より分類器のほうが仕事をしている。
エンジニアリングブログ更新: Claude Codeのauto modeをどう設計したか。多くのClaude Codeユーザーは、権限プロンプトなしでClaudeを働かせている。auto modeはより安全な中間地点だ——人間の代わりに承認判断を下す分類器を、私たちは作り、テストした。
セッション同士が、勝手に話し始めた
同じ週にもうひとつ、性格の違う更新が入っている。バージョン2.1.224以降のClaude Code(macOS/Linux)では、別々に開いたセッション同士がメッセージを送り合えるようになった。あるプロジェクトで決めた方針を、隣のターミナルで作業中のClaudeに「伝えておいて」と頼める。人間が同じ説明を二度打つ必要がなくなる、という機能だ。
送られるのはClaudeが書いた短いテキストだけで、会話の履歴やファイルは渡らない。そして重要なことに、他のセッションからのメッセージは権限の承認として一切扱われない。受け取る側の関門は普段どおり働く。受信を保留・拒否する設定も用意されている。auto modeで「個」の自律を上げ、メッセージングで「群れ」の連携を作る。8月のClaude Codeは、エージェントの働き方を2段階まとめて進めた格好だ。
分類器は魔法ではない、と公式も言っている
手放しの歓迎ばかりでもない。著名エンジニアのSimon Willison氏は、確認疲れの実データを認めて「人間に承認を求め続けるよりauto modeのほうが良い解決策だ」としつつ、プロンプトインジェクションの防御については独立した検証が必要だと釘を刺した。悪意あるパッケージが、一見正当なコマンドの中に情報流出の仕掛けを混ぜてくるシナリオは残る。
Anthropic自身も公式文書で「分類器はリスクを消し去れない(classifiers cannot eliminate risk)」と明記している。米メディアには「コーディングエージェントへの信頼を築いてから頼るべきだ」という初心者向けの慎重論もある。89%は13.6%よりはるかに良い数字だが、100%ではない——この距離感は覚えておきたい。
8月14日までにやることは、実は少ない
備えはシンプルだ。まず、何もしなくても困らない。切り替わるのは新規セッションだけで、セッション中はいつでもモードを戻せる。恒久的に従来方式が良ければ、設定でデフォルトのモードを指定すればいい。
ひとつだけ勧めたいのは、「ここだけは人間に聞いてほしい」操作を設定のaskルールに書き出しておくことだ。外部への公開や本番環境に触るコマンドが候補になる。askとdenyは分類器より先に効くので、auto modeでも必ずプロンプトが出る。筆者はこの移行を支持する側だが、それは「戻る自由」と「関門を残す自由」がきちんと設計されているからでもある。
Claude Codeをこれから触る人はコマンド一覧から、他のエージェントとの使い分けは4大CLIエージェント徹底比較2026からどうぞ。答え合わせは8月14日、新しいセッションを開いた瞬間だ。
出典: Claude公式ブログ「Auto mode is now the default in Claude Code」 / Claude Code公式ドキュメント(auto mode設定) / Anthropic Engineering「How we built Claude Code auto mode」 / ITmedia AI+「『Claude Code』、AIが権限確認を代行する『auto mode』がデフォルトに」 / Simon Willison’s Weblog
