![矽基前沿 [Si]gnals](/silicon-frontier-signals-logo.png){kind=logo}
Claude Code 改成自己按核可：人類只攔得住 13.6%
1,053 人的實驗，按越久攔得越少。
1,053 個付費開發者在自己的 Claude Code 前面工作。實驗設計很簡單：跑到一半，把一條危險指令掉包進他們正要核可的權限提示裡。只有 13.6% 的人把它攔下來。
這是 Anthropic 8 月 7 日公告裡的數字。8 月 14 日起，自動模式（auto mode）成為 Claude Code 在 Pro、Max、Team 方案上新 session 的預設——工具呼叫不再一個一個問你，改由一個分類器先過一遍，擋掉不可逆、破壞性、或者伸出你環境之外的動作。被擋下來的時候，Claude 通常自己換一條安全的路，或者直接來問你。同一份實驗裡，auto mode 攔下 89%。
真正讓我停下來的不是 13.6% 對 89% 這組對比，是疲勞曲線。官方說人的攔截率一開始還有大約 17%，累積 50 次提示之後掉到約 5%。同一個人、同一天、同一個介面。另一個數字把圖補完：舊制下的權限請求，有 97% 被核可。
所以我要把話說死：「有人按了核可」不是一道控制措施。 它是一個把責任從廠商挪到使用者身上的儀式。我自己每天在按那顆鍵，我按的方式，跟實驗裡沒攔下來的那群人不會有什麼不同。
先講清楚三件事。13.6%、89%、還有「用 auto mode 的團隊多開出約 25% 的 PR」，全部是 Anthropic 自己的實驗與自報，我沒查到第三方複現。那份 720 次間接提示注入的評測——Fable 5、Opus 5、Sonnet 5 在 auto mode 下全數擋住，對照組 Codex 的 auto-review 模式有 5.83% 成功——執行的 Trajectory Labs 是 Anthropic 委託的。官方自己也寫著：分類器不消除風險，正式環境的基礎設施變更仍然建議你自己看。
要換回去或鎖住的方法都有。CLI 按 Shift+Tab，或用介面上的模式下拉；管理員在 managed settings 用 defaultMode 鎖定，或用 disableAutoMode 整個關掉。幾條邊界一起記：資料外流那類硬拒規則不會因為換了模式就放行；分類器連續擋 3 次、或單場累積擋 20 次之後會退回人工提示；分類器本身的 token 開銷，對 Pro、Max、Team 不再收費。企業版、API，以及 AWS、Google Cloud、Microsoft Foundry 上的部署目前維持 opt-in，官方說一個月內跟上。
站上寫過太多次代理把東西刪光的故事——Codex 刪光他的 Mac、一封假的 Sentry 回報就能讓代理替攻擊者跑指令——回頭看，沒有一次的止血點是那顆核可鍵。止住的都是別的東西：打開的分支保護、真的還原過一次的備份、代理摸不到的正式環境憑證。權限、sandbox 與 hooks 怎麼配，站上有一篇專門寫過。Anthropic 這次等於承認那顆鍵沒用，然後把判斷換給一個它自己說會漏的分類器。出事之後救得回來的人跟救不回來的人，差別從來不在按鍵的那一秒。
查核備註：13.6%、89%、97%、25% 與那條疲勞曲線都出自 Anthropic 8 月 7 日的公告，我沒看到原始資料集，也沒查到第三方複現；Trajectory Labs 的注入評測是 Anthropic 委託執行的。我沒有實測 8 月 14 日之後的預設行為——本文寫在改動生效之前。
SOURCES
- AAuto mode is now the default in Claude Code for Pro, Max, and Team plans（2026-08-07 公告）
- AAuto mode for Claude Code（功能說明）
- BAnthropic sets Claude Code to Auto Mode by default to protect developers from bad approvals — The Decoder
來源分級:A = 一手公告/論文/官方文件 · B = 可信媒體 · C = 可參考但需脈絡 · D = 觀察用，不可當事實。
本文由 AI 與編輯共同撰寫，總編輯廖玄同審閱定稿。 編輯方針與 AI 使用說明
