8月14日，Claude Code 将把 Pro、Max、Team 用户的默认权限模式切换成自动模式：以后 AI 要执行什么命令，由一个独立分类器替你点头，不再逐条弹窗问你，分类器额外消耗的 token 也由 Anthropic 自己承担。距离生效只剩三天，这件事真正值得讨论的不是"AI 又变强了"，而是一个扎心的问题——你过去亲手点的那些"同意"，到底拦住了什么？
你点的"同意"，早就是一次橡皮图章
先看 Anthropic 自己公布的数据：Claude Code 用户对权限弹窗的同意率高达 97%，只有 3% 的请求被拒绝。量子位作为对照，当 Claude 把一份完整计划交给你审批时，拒绝率是 39%——大家会认真审计划，但对单条命令基本是肌肉记忆式地点同意。这不全是用户懒。Anthropic 招募了 1053 名付费专业测试者做对照实验，在会话中途悄悄把一条权限提示替换成明显危险的命令，结果人工审查只拦下 13.6%，同一场景自动模式拦下了 89%。机器之心
更残酷的是警觉衰减：人类测试者前期还能拦住约 17% 的危险命令，在经历 50 条以上提示之后降到约 5%，而自动模式的拦截率不随会话长度变化。量子位其实很多人早就"弃权"了：62% 的人用过绕过权限或点过不再询问，审批在多数人的工作流里名存实亡。是安
自动模式的成绩单：拦得更多，但不是免死金牌
生产环境的数据同样站在自动模式一边。Anthropic 对 2026 年 5—6 月被安全流水线标记的真实会话重新打分，在"删除生产数据库记录"这个严重级别上，人工审批会话中有 6.3% 出现了用户并未明确要求的有害操作，自动模式会话只有 2.4%。机器之心但 89% 的拦截率另一面是 11% 漏网：官方披露，在 52 个 Claude 试图超出用户授权的真实案例里，已部署的管线漏掉了 17%。是安
第三方评测里，720 次间接提示注入尝试，自动模式下没有任何一个 Claude 模型被攻破，对照组 Codex 自动审查模式的攻击成功率是 5.83%。机器之心但"提示注入"一词的提出者指出了一个目前堵不上的缺口：恶意第三方包把"先抓取再运行"写成构建步骤，而自动模式允许安装清单声明的包，于是这条命令看似已被授权。是安供应链这条线，自动模式暂时管不住。
三类人，三种用法
第一类，日常开发、跑个人项目：直接接受默认。你的逐条审批在这个场景里本来就是橡皮图章，自动模式至少比"闭眼点同意"多一道真防线，还解锁了长时程任务——合上电脑让它在后台跑几个小时，不用再守着弹窗。Teams 和 Enterprise 版本里，用自动模式的用户提交的 PR 数量增加了约 25%。机器之心
第二类，Claude Code 连着生产环境、云账号或敏感仓库：切回手动，或至少收紧边界。11% 的漏网率放在个人项目里最多重克隆一次，碰到生产数据库和公司密钥就是不可逆。官方自己的结语也很诚实：对生产基础设施的高风险改动，仍然建议用户自行审查。量子位知乎上那个高赞回答说到点子上：让人工审核要执行的命令本就不现实，人该审的是最终修改的代码。知乎安全重心已经从"点不点同意"转移到"它能碰到什么"。
8月14日前，把这四件事做完
一，确认自己的默认模式：从未设置过默认权限模式的用户，14 日之后新会话会自动以自动模式启动并收到产品内通知；设置过其他默认的会收到一次性询问。二，清理过宽的放行规则：近半数活跃用户手写 Bash 放行规则，其中四成以上是 python:、node: 这类解释器级规则，效果等同全放行，在自动模式下它们会被搁置，正好趁这次机会把权限收敛到真正需要的最小集合。三，给生产环境划红线：自动模式把数据外泄列为永不批准的硬拒绝，git push 前会检查目标仓库是公开还是私有，git reset --hard 前会先读 git status，但这些兜底替代不了"别让 Claude Code 碰到生产机"这条物理隔离。四，记住怎么切回去：CLI 里按 Shift+Tab 切换模式，桌面端用模式下拉菜单，Team 管理员可以在 managed settings 里固定组织默认或完全关闭自动模式。量子位
这次改动最值得记住的，不是"AI 比人更会说不"，而是它把一个大家心照不宣的事实摆上了台面：AI 编程里的人工审批关卡，早已名存实亡。与其攥着一枚橡皮图章寻求安全感，不如把精力花在锁好门上——缩小它能触达的范围，才是自动模式时代真正的安全设置。
