今天（8月14日）起，Claude Code 对 Pro、Max、Team 用户的新会话默认开启 Auto Mode：改文件、跑命令前那个“确定吗？”弹窗消失了，取而代之的是一个 AI 安全分类器替你判断；Enterprise 和 API 用户一个月内跟进，不想用的话，设置里随时能切回手动。知乎
为什么 Anthropic 敢撤掉它
他们找了 1053 个付费开发者做对照实验：人类对危险操作的拦截率只有 13.6%，分类器能达到 89%；而 97% 的用户会机械通过权限申请，逐条审批早就成了伪安全。微博
但分类器只管“显性风险”
同一轮测试也暴露了另一面：含糊指令引发的越界操作，81% 没被分类器拦下；而组织级的 soft_deny 设置“不是硬策略边界”，个人设了 allow 就拦不住，真正硬的只有 permissions.deny 和 ask 两条规则。微博知乎
在这张对比图里，Claude 三个模型在 Auto Mode 下的提示注入成功率都接近零，而 GPT-5.6 Sol 的全开模式达到 19.03%。
更少人讨论的代价：你不再“看”自己的项目
弹窗不只是安全阀，也是最后一个逼你瞟一眼 AI 要改什么的时刻。这周社区在密集晒同一种感受：功能都能用，却越来越不敢改代码，想改一个细节都不知道从哪里开始看。知乎有人把 AI 写的 Redis 查询脚本放进 10 万条批量场景，才发现客户端在循环里每次重新初始化——局部正确，不等于放大后还正确。知乎你停止点“同意”的那一刻，脑子里对这个项目的心智模型也停止更新了。
怎么办，分层说
一次性的个人小项目、临时脚本：放心享受 Auto Mode，效率提升是实打实的，不必制造焦虑。
已经开始“不敢改代码”的：别想着重构整个项目，先挑一个最小的功能，说清数据在哪、流程在哪、表现在哪，再给它一个统一对外入口；把这些边界写进 CLAUDE.md，让 Agent 动手前先回答“这该放在哪”。Matt Pocock 把这套思路做成了 /improve-codebase-architecture 技能，核心就是拯救被 AI 加速腐化的代码库。哔哩哔哩
团队侧：在 PR 模板里加三行来源字段——工具参与了什么、用了哪个版本、人工复核了哪些环节；写功能的和写测试的，尽量分开。知乎
碰生产环境、敏感目录的：要么保留手动审批，要么把 deny/ask 写成硬规则。
真正的问题
Auto Mode 不是审批的终结，而是审批形态的变化：从逐条审操作，变成定规则、抽验结果。该问自己的不是“我信不信分类器”，而是“弹窗没了之后，你放弃的那部分‘看见’，准备用什么补回来？”下个月值得盯的信号：分类器对含糊越界的拦截率，是否开始上升。
