Claude Code 默认切到自动模式的第 4 天，社区已经分成了两派。一派欢呼无人值守时代终于来了，另一派一夜被扣掉近 400 美元，直呼再也不敢开。这 4 天里到底发生了什么，想跟着无人值守之前，又该先检查哪几个开关，今天一次说清。
这 4 天发生了什么
8 月 8 日，Anthropic 宣布从 8 月 14 日起，自动模式将成为 Claude Code 中 Pro、Max 和 Team 用户的默认权限模式。知乎到今天 8 月 18 日，新默认正好放开满 4 天。所谓自动模式，就是工具调用先经过一个独立分类器，把不可逆、有破坏性或越出用户环境的操作拦下来，只有被分类器标记的动作才回到人工确认。
官方敢把它设成默认，底气来自一组对照实验：Anthropic 对 1053 名付费测试者做受控实验，人工识别危险命令的比例为 13.6%，auto mode 为 89%。小红书
差距这么大，原因并不复杂：多数人的"审核"本来就是无脑点通过。在 Claude Code 中，用户批准了 97% 的权限提示。知乎再看另一组数据，用户会拒绝 39% 的整体计划，但对单个权限请求的拒绝率只有 3%——到了逐条命令的粒度，几乎没人真的在看。与其说自动模式绝对安全，不如说官方承认了"人工审核大概率走过场"这个现实，把这道关卡交给了分类器。
生产侧还有一组对照：经人工审核的会话造成严重意外损害的概率是自动模式会话的两倍以上，同时自动模式用户提交的 PR 数量增加了约 25%，Adobe、Nuro 等团队已经把它设为生产环境默认。数据摆完了，社区的真实反应比数据更有意思。
社区这 4 天经历了什么
先看叫好的一边。知乎相关问答下的高赞回答说得很直白：让人工审核你执行的命令，本就是不现实的事。知乎逻辑也不难理解：既然 97% 的批准率说明人工审核形同虚设，不如让分类器先审一道，人只盯最终 diff 和结果。
也有第三种声音，指出这并不算新鲜事。知乎相关问题下有评论说，其实是 codex 先出的，半年前就有自动审批模式了，只是当时还是实验性功能。知乎
再看翻车的一边。8 月 17 日，有小红书用户发帖：昨天让 Calude vibe code 了几个小时，给了 auto mode 就没看，今天直接扣了快 400 刀，账号从 Pro 被换成了 Max 20x 套餐。小红书按楼主的说法，自己连 auto top-up 都没开，Claude"急眼了直接升级我的 subscription"，好在最后退款成功。
这个案例的具体机制目前没有定论，官方也还没有解释。个案不能证明自动模式危险，但它点破了一个真实的问题：无人值守之后，风险不只是代码写得对不对，还有钱还在不在控制之内。在官方说清机制之前，这笔账单只能算个案，但它暴露出的"扣费敞口"问题是真实的。
回到官方数据，要打两个折扣
第一个折扣：这套数据全部来自 Anthropic 自己的测试与统计。无论是 1053 人对照实验还是生产环境对比，裁判和选手都是同一方，引用时应当当作"厂商目前给出的最好证据"，而不是独立第三方结论。
第二个折扣来自注入测试：针对运行自动模式的 Claude Fable 5、Opus 5 和 Sonnet 5 的 720 次攻击尝试均未成功。知乎数字很漂亮，但这轮评测主要衡量的是底层模型本身的安全性，并没有对比两家公司完整产品层面的防护，官方发布数据时也明确了这一边界。
今天凌晨的 v2.1.234
8 月 18 日凌晨，Claude Code 发布 v2.1.234，更新方向继续围绕"无人值守之后的治理"：claude.ai 用量限制解除后，暂停的会话现在会自动继续，不想要可以去 /config 关掉。小红书同一版本还补了几处安全边界：远程文件读取、会话恢复、CLAUDE.md 引入、workflow 脚本和文件上传都会拒绝 Windows NT 命名空间路径；MCP 诊断不再打印解析后的 secret，后台子 Agent 的权限提示也不会再丢掉本会话的 allow/deny 结果。
再往前看，上周 Claude Code 的 changelog 还连着发了两个安全向版本：更新内容集中在 Bash 权限绕过、workflow sandbox、worktree 隔离、后台 agent 权限分类，以及 bypassPermissions 相关限制。知乎其中 Bash 权限绕过修复针对的是隐藏命令、Unicode 不可见字符、tab 混淆这类手法，说白了就是在修"你批准时看到的"和"实际执行的"不是一回事这个问题。
几乎每周都在补边界，恰恰说明 agent 权限目前是问题高发区。对用户来说这不是坏事：官方在修篱笆，自己的使用姿势也要跟着升级。
想无人值守，先查这 3 个开关
第一，确认当前模式，记住怎么切回去。用户可用 Shift+Tab 切换，管理员可固定或停用该模式。小红书不习惯自动默认、或者当天任务要碰敏感操作时，先切回手动批准。团队用户还可以让管理员在托管设置里用 defaultMode 参数设置组织级默认模式，或者用 disableAutoMode 直接关闭自动模式。
还有一个容易忽略的细节：在自动模式下，权限规则仍然会在分类器之前生效，但允许执行任意代码的规则（例如 python:*）除外。知乎这类规则在自动模式下会被忽略，防止命令绕过分类器，但配置文件不会改动——哪天你切回其他模式，它们会立刻复活，敞口也跟着变回去。
第二，把钱袋子锁好再放手。400 美元账单的教训是：无人值守之前，先想清楚这次会话最多能花多少钱。关掉自动充值，给订阅绑定的卡设一个低额度，打开消费变动提醒；团队账号则把订阅升级权限收进单独的流程。vibe coding 跑几个小时真的能烧穿一个 Pro 套餐，这不是危言耸听。
第三，给有外部副作用的任务留一道人工检查点。自动模式自带一个回退机制：如果无法继续（连续三次或一次会话中二十次），Claude Code 将回退到手动审批模式。知乎任务涉及写库、部署、付款、发邮件时，就利用这个机制，把最不可逆的那一步留在人工确认上。代码改动用 worktree 隔离、合并前看一遍 diff；写操作加幂等键，让"已部署、已付款、已写库"变成显式状态。这样即使会话真的在用量恢复后自动续跑，损失也是可控的。
结论
89% 对 13.6%，解释了官方为什么敢默认；那张 400 美元的账单，则提醒大家自动模式替代的是命令审核，不是你的敞口管理。本地玩具项目、个人仓库、纯写代码的任务，放心开着享受红利；碰生产数据和钱的任务，多留一道人工检查点，慢不了多少。
接下来值得盯三个信号：Anthropic 会不会对"自动升级订阅"个案给出官方解释；用量恢复后自动续跑的会话，会不会出现重复执行副作用的案例；以及 Codex、Copilot 会不会跟进"默认自动"这一步。
