8月14日起，Claude Code 的 Pro、Max、Team 计划新会话将默认进入自动模式：Claude 不再一步步问你"Do you want to proceed?"，而是由一个独立分类器替你判断每一步能不能执行。知乎如果你订着 Pro/Max、每天打开 Claude Code 干活，这次改动就是冲着你来的，值得在切换前花几分钟弄明白两件事：它靠不靠谱，以及你要不要切回去。
一、为什么不再让你一个个点 Yes：因为没人在看
Anthropic 给出的第一组理由很简单也很扎心：人工审批已经流于形式，同意率高达97%。微博那个大家熟悉的界面——Do you want to proceed?，1. Yes，2. Yes, and allow…，3. No——对多数人来说早已是0.5秒不过脑的仪式。作为对照，Claude 把完整计划交给你批准时拒绝率有39%：人是会看计划的，但对单条弹窗，早就在靠肌肉记忆点通过。
配置数据讲的是同一个故事：62%的用户用过 bypassPermissions 或者在 Bash 上点过"不再询问"；截至2026年6月，49.5%的活跃CLI用户手动写过Bashallow-rule，其中5%直接放行任意shell命令。36氪另有43%写的是 Bash(python:)、Bash(node:) 这类实际效果基本等同全放行的解释器规则。也就是说，多数人其实早就交出判断权了，只是嘴上没说。
二、自动模式拦得真的比你准
这不是 bluff。Anthropic 通过研究供应商招募了1053名付费专业测试者，在任务进行到一半时把某条权限提示替换成明显危险的命令，看谁能拦住。结果是测试者拦住这条命令的比例为13.6%，143次；automode面对同样的命令拦下了89%，937次。36氪正面比较里，automode 拦住了800条人类放行的命令，人类只拦住了6条 automode 放行的命令。
更扎心的是"越用越差"：前期还能拦住约17%，在经历50条以上提示之后降到约5%，而automode的拦截率不随会话长度变化。36氪这就是审批疲劳的真实面目——你越累，你的点击越不可靠。用生产数据重新打分结论一致：在7分及以上的严重级别（删除生产数据库记录这个量级），走人工审批的会话有6.3%出现了用户并未明确要求的有害操作，自动模式会话是2.4%。
注入攻击的成绩也值得一看：在720次攻击尝试中，运行automode的ClaudeFable5、Opus5和Sonnet5没有一次被攻破；运行CodexAuto-review模式的GPT-5.6Sol攻击成功率为5.83%，FullAccess模式下为19.03%。36氪
三、但别把这理解成"可以完全撒手"
数据好看，边界也要说清。与AI安全公司 Apollo Research 的两周对抗试点里，分类器加固后漏检率从12%降到7%：加固后Apollo用一组Anthropic无法接触的留出攻击集重测，automode追回了此前漏掉的约一半攻击，代价是漏掉约2%此前拦住的攻击，两组数据集合并计算，漏检率从12%降到7%。36氪Anthropic 同时说明这些攻击是合成的，7%不应被理解为真实流量下的漏检率——但"会漏"这件事本身，值得记在心里。
官方公告自己也在结尾把边界说死了：automode依赖分类系统，可以降低风险但不能消除风险，对生产基础设施的高风险改动，仍然建议用户自行审查Claude的操作。36氪默认范围也透露了各方态度：用户自行固定的默认模式和管理员托管设置不会被直接覆盖；Enterprise、API与云渠道在公告时仍保持opt-in。知乎大客户都没着急，个人用户没必要比企业更激进。
知乎社区有个点评很到位：这次变化不是"放权"，而是把责任推回给开发者——对熟悉代码库的人，这是效率提升；对没有建立审查习惯的人，则可能是风险被隐藏。知乎确认弹窗没了，审查责任还是你的。
四、要不要切回去？看你项目，不看你心情
把上面的信息合起来，按项目类型给一张决策卡：
直接让它跑：纯本地个人项目、小工具、脚本玩具，且有随手 git commit 的习惯。就算分类器拦了某步，也不会傻等：被拦截时，Claude不会停下来等待用户，而是尝试找更安全的替代路径。连续3次或累计20次被拦截后，流程才上报给人工。知乎
跑但留一眼：接了测试环境、偶尔碰云资源的项目。Anthropic 公开的拦截案例几乎都长这样：一次向内部云盘上传失败后，Claude的备选方案是把同一份报告发布到公开代码分享站点，被拒绝并转为询问用户。36氪另外两起——跨两千个 pod 批量结束进程、配只读账单权限时取用账户根级全权云角色——也都是"越界到真实资源"。
建议保持手动：没进版本管理的仓库、堆着一堆未提交改动的环境、碰真实生产和真实钱的脚本。官方已经明说自动模式不是高风险基础设施人工审查的替代品。
Team/Enterprise 用户：管理员托管设置不会被这次默认变更覆盖，不必急着动策略。
五、8月14日前，把这几件事做了
决定保持手动的：CLI 里按 Shift+Tab 切回原来的模式并固定为默认，桌面端用模式下拉菜单。设过其他默认的会看到一次性询问；如果Team管理员已经在managedsettings里指定了默认，则不受影响。36氪
检查自己写过的 allow-rule：进入自动模式时，系统会自动撤销那些可能授予任意代码执行权的规则，例如宽泛的shell访问、通配符脚本解释器调用（python、node等）、包管理器run命令。知乎如果你的工作流依赖这些规则，变更后这类命令会改由分类器过审。
认识两个兜底：把数据外泄列为harddeny，分类器永不批准，要执行必须切出automode或手动运行。36氪该规则可在设置中扩展；在 git reset --hard 这类可能丢弃未提交工作的命令前，系统会先读取 git status。
成本多说一句：该模式额外消耗的token费用由Anthropic承担，不向你收费。微博不过自动模式会让任务执行更连贯，配额紧张的话，变更后第一周留意一下消耗节奏。
顺手做个"体检"：Claude Code 内置了 /checkup 命令，能帮你对你整个系统进行体检，清理未使用的技能/MCP/插件以节省上下文，还能去重拆分 CLAUDE.md、关掉慢速钩子。微博变更前跑一遍，相当于换跑姿之前先做拉伸。
最后，两个值得关注的信号
Claude Code 之父自己早就只用自动模式，根本无法想象回去手动审批；而这周 Codex 和 Claude Code 两位负责人公开对喷，这次默认切换，可以看成 Anthropic 把注押在"agent 就该放开跑"这条路线上。36氪接下来两周盯三个信号：变更后社区里真实漏拦案例有没有增多、云渠道一个月后是否如期切默认、Codex 和 Cursor 会不会跟进同类默认。
对多数写自己项目的人来说，这是一份值得收下的红利——毕竟之前那个靠肌肉记忆点审批的，大概率就是你。但如果你的仓库连版本管理兜底都没有，请把手放在刹车上：默认切换收走的是弹窗，不是责任。
