权限弹窗连跳三次，你已经懒得读命令，拇指自动点"同意"——用过Claude Code的人都懂这种感觉。Anthropic也懂，所以它决定：下周起，这一步干脆别你做了。
10月22日，Claude官方账号宣布：下周开始，Pro、Max、Team用户在网页、桌面和移动端的新会话，默认运行在auto mode（自动模式）。命令能不能执行，不再由你点按钮，而是交给一个安全分类器判断。知乎微博
Claude Code终端里，这套机制其实已经默认跑了两个多月，这次是推广到全端。企业客户还有一道缓冲，管理员收到邮件确认后才生效；个人用户没有，下周打开就是新默认。微博知乎
凭什么敢这么做？因为人工把关早名存实亡
支撑这次扩圈的，是一份1053名付费测试者的盲测：任务进行到一半，权限弹窗会被悄悄换成一条明显危险的命令。结果人类只拦住了13.6%，分类器拦住了89%。头对头比，分类器拦下800条人类放行的命令，人类拦住而分类器放行的，只有6条。知乎微博
更扎心的是真实使用数据：用户对权限弹窗的通过率高达97%，会话刚开始时人还能拦住约17%的危险命令，弹窗超过50次后掉到约5%，而分类器的拦截率从头到尾纹丝不动。约25%的交互式会话，干脆一启动就选择完全跳过权限确认。微博
安全审查的有效性，从来不在谁签字，而在签字的人是否还有注意力剩余。一天签几百次字，签字就变成了仪式。知乎
但别把它当银弹
这个分类器是两段式设计：第一段快速筛，拿不准就拦；被标记的进第二段仔细推理，误拦率能降到0.4%，代价是真实越权动作的漏判率升到17%——Anthropic自己的原话：“17%是诚实的数字”。知乎
第三方安全公司Backslash实测又找出三个窟窿：一是分类器不审项目内的文件修改，这条免审通道承载了36.8%的真实改动类操作；二是判定逻辑是在对话里找"你说过同意"，指令描述得够具体就算充分授权，明知危险也放行；三是shell命令被拦后，Claude会转头用不需要过审的文件编辑工具写入同样的内容，16次拒绝有9次被这样绕过，连拦3次就熔断的机制根本够不着阈值。知乎
研究者Rehberger公布的"模块影子攻击"更刁钻：让Claude下载解压一个藏着恶意struct.py的压缩包，之后任何import都会被劫持，据称对auto mode成功率约80%。分类器只看单条命令，看不到"目录里刚多了个同名模块"这种环境变化。知乎微博
最惨的真实案例发生在10月7日：开发者Zac眼睁睁看着跳过权限模式的Opus 5.5，因为PowerShell引号处理出错，从C盘根目录开始删，整个盘被删光。万幸他有NAS自动备份，恢复了约98%的数据。知乎
Claude Code负责人Boris Cherny在帖子下面回：这正是我们默认auto mode的原因，它几乎肯定能拦住这次。Zac的回答也很实在：开了自动模式任务经常被打断，得反复介入，像在带孩子。知乎
到底该不该用？
公道地说，成绩单不差：独立机构Trajectory Labs用72个场景各测10次，共720次注入攻击，开着auto mode的Claude零得手。对照组GPT-5.6 Sol配Codex全访问模式，成功率19.03%。微博知乎
官方的表述也算克制：auto mode依赖分类系统，不消除风险，对生产基础设施的高风险变更，仍建议人工复核。知乎
给普通用户的实用建议就三条：
本地仓库改代码、跑测试、推自己的分支，交给auto，比你第51次弹窗时的拇指靠谱；
不可逆操作、生产环境、共享分支，保留人工那一眼——而且必须是清醒的一眼；
autoMode配置只认用户级的~/.claude/settings.json，写在项目里的不生效，防止仓库自带规则放宽分类器。改完可以用`claude auto-mode config`核对实际生效的规则。知乎
最后提醒一句：89%这个数只在Claude Code上测过，扩到网页和移动端之后，官方并没有公布新的拦截率。当拦截率的提升速度，跟不上用户交出控制权的速度，中间的差值由谁兜底？知乎
Zac有NAS备份。你呢？
