Claude Codeを使っていると、コマンドを実行するたびに「本当に実行していいですか」と聞かれます。rmを打っただけでも聞かれるし、テストを1本流すだけでも聞かれます。正直、そのYes/Noにいちいち答えるのが面倒で、気付けば深く考えずにEnterを押す癖がついていました。以前Hooksで危険なコマンドをブロックする記事を書いたのも、この「確認疲れ」がそもそもの動機でした。
そんな中、Anthropicが2026年8月14日から「オートモード」をPro/Max/Teamプランの新規セッションでデフォルトにしました。執筆時点ですでに施行から1週間以上経っていますが、実際どう変わったのかを一度整理しておきます。
これまでの「毎コマンド確認」と何が変わったのか
これまでのデフォルト（Manualモード）は、ファイル編集・シェルコマンド・ネットワークアクセスなど、ほとんどの操作の直前にユーザーへ確認を出す仕組みでした。読み取り専用の操作は素通りしますが、それ以外は基本的に「聞かれる」設計です。
オートモードでは、この「人間に聞く」役目を分類器（classifier）という別モデルが肩代わりします。ツールを実行する直前に分類器がそのアクションを審査し、「不可逆・破壊的・自分の環境の外に向かう」と判断したものだけを止める仕組みです。安全と判定されたものはそのまま実行されるので、体感としては聞かれる回数が激減します。
ここで気になるのが「危険なコマンドを素通りさせてしまうのでは」という不安だと思います。私も最初はそう思いました。
社内テストの数値：手動13.6% vs オートモード89%
Anthropicの公式ブログによると、1,053人の有償プラン利用者を対象にした管理下でのテストで、セッションの途中に明らかに危険なコマンドを1回だけ紛れ込ませる実験をしています。結果は次の通りです。
- 人間のレビューが気付けた割合: 13.6%（1,053人中143人）
- オートモードの分類器がブロックした割合: 89%（1,053人中937人）
正直、この差には驚きました。「毎回Yes/No聞かれるのが面倒」と思っていた側の私が、実は一番危険なコマンドを見逃しやすい側だったことになります。二次媒体には「セッションが長くなるほど人間の検知率は下がり、50回以上プロンプトをこなした後は5%程度まで落ちる一方、分類器の検知率は横ばいだった」という調査を紹介しているものもありました。ただしこれは公式ブログ本文で直接確認できた数値ではないので、「そういう傾向が報告されている」程度に留めておきます。
もう一つ興味深いのが、プロンプトインジェクション攻撃に対する第三者評価です。72種類の攻撃シナリオを10回ずつ、合計720回試したところ、Fable 5・Opus 5・Sonnet 5のいずれでオートモードを動かしても、720回すべてブロックされたとのことでした。攻撃を仕込んだWebページをAIに読ませる怖さはAgent Teams回でも触れましたが、ここでも「任せる側の安全性」が実測されているのは安心材料です。
さらに、実際の利用状況を後から分析した結果として「手動承認していたセッションの方が、本番環境レベルの重大な意図しない被害が2倍以上多く発生していた（6.3%対2.4%）」という数字を紹介している二次媒体もありました。こちらも公式ブログの一次データとして直接確認できたわけではないので、あくまで参考情報として置いておきます。それでも複数の角度から「人間の毎回確認は思ったほど機能していなかった」という同じ結論に寄っているのは、正直なところ自分の実感とも一致します。
それでも人間の確認が必要な場面
オートモードは「全部自動」ではありません。公式docsを読むと、分類器の判断ルールには2段階あることが分かります。ユーザーが明示的に指示しても解除できないhard_denyと、意図を明示すれば通せるsoft_denyです。
soft_denyの代表例が、git push --forceのようなforce-push、リモートブランチ・タグの削除、履歴の書き換えです。さらにブランチ名にproduction・release・gh-pagesのような「デプロイ先」を示す名前が付いていると、そのブランチへのpushはデフォルトの許可対象から外れ、分類器が本番デプロイとして個別に判断します。コミットに紛れ込んだ秘密情報や、外部に秘密情報を送ってしまうような変更も、いずれも止まる設計です。
hard_denyの代表例はデータの持ち出し（exfiltration）です。コードや秘密情報を外部に送信する操作は、ユーザーが明示的に指示しても分類器がブロックします。soft_denyは「force-pushして」と具体的に指示すれば通りますが、hard_denyはユーザーの意図があっても解除できません。この2段階、「不可逆操作は要確認」という運用ルールをそのまま仕組みに落とし込んだような設計だと感じます。
ちなみに分類器がどこまで社内事情を知っているかはautoMode.environmentという設定次第です。デフォルトでは作業ディレクトリと現在のリポジトリのリモートしか「信頼できる場所」として認識していないので、社内の別リポジトリやクラウドバケットへの操作は最初のうちは頻繁に止められます。~/.claude/settings.jsonに、次のように自社の情報を書き足していく運用が要る、という理解で私は使い始めています。
{
"autoMode": {
"environment": [
"$defaults",
"Source control: github.com/自社org 配下のリポジトリ",
"Trusted internal domains: *.internal.example.com"
]
}
}"$defaults"を残しておくと、Anthropic側が用意している既定ルールはそのまま活かしつつ、自分の環境固有の情報だけを追加できます。ここを書かずに放置していると「いつまで経っても社内の別リポジトリへの操作で止められる」状態が続くので、最初にひと手間かけておく価値はありそうです。
乗り換え時の設定確認
Pro/Max/Teamで特に何も設定していなければ、8/14以降の新規セッションは自動的にオートモードで立ち上がります。すでにモードを自分で変更していた場合は、切り替えるかどうか一度だけ確認が出る扱いのようです。
- セッション中にモードを切り替えるなら、CLIでは
Shift+Tabを押すのが一番早いです。VS Codeならモードインジケータ、デスクトップアプリならモードのドロップダウンから選べます。 /configを開くと現在の設定を一覧できるので、今どのモードで動いているか怪しい時はまずここを見ます。- 恒久的な設定にしたい場合は、
settings.jsonのpermissions配下にdefaultModeを書きます。 - チーム・組織の管理者側で統制したい場合は、管理設定の
disableAutoModeでオートモード自体を無効化できます。逆に組織全体のデフォルトモードを固定することもできるようです。
個人的に一番実務で使うと思うのはclaude auto-mode configコマンドです。今の環境で分類器が実際に何を「許可」「ブロック」「意図を言えば解除」として持っているかを、JSONでそのまま出してくれます。何度もブロックされて困った時は、まずこれで自分の設定を確認するのが早そうです。
Hooksとの関係はどうなるのか
ここで気になるのが、以前自分で作った「危険コマンドをHooksでブロックする仕組み」はもう要らなくなるのか、という点です。調べた限り、両者は競合するものではなく別の層で動いています。Hooksは自分で書いたルールを確実に実行する仕組みで、オートモードの分類器は別モデルによる審査です。
permissions.denyのような明示的な拒否ルールは分類器より先に評価されるので、「これだけは絶対に自動実行させたくない」というものは、これまで通り自分でdeny/askルールやHooksとして固定しておくのが安全そうです。分類器の判断だけに頼ると、その時々の審査結果に運用が左右されてしまいます。逆にHooksだけに頼っていると、自分が想定していなかった種類の危険な操作は素通りしてしまいます。分類器は「うっかり見逃す人間より優秀な二重チェック」、Hooksは「絶対に譲れない一線」というように役割分担で考えるのが実態に近いと感じました。
ここまで見てきて一番印象に残ったのは、「面倒だから自動承認に流れていた自分」より「分類器」の方が危険なコマンドに気付ける、という逆説です。Focus view回で書いたログの折りたたみもそうですが、Claude Codeは「人間が見るべき場所を絞る」方向にどんどん進化している気がします。オートモードもその流れの一つとして捉えると、素直に受け入れやすいのではないでしょうか。
自分の場合、毎日回している自動化ループ（このブログの記事執筆・公開も含む）でもClaude Codeを無人実行しています。無人実行という時点で「そもそも人間がYes/Noを押せない」状況なので、以前から危険なコマンドの実行は避けるようCLAUDE.mdやHooksで縛ってきました。オートモードはこの延長線上に乗る話として捉えていて、分類器という追加の目を持ってもらえるなら素直にありがたい、というのが正直な感想です。とはいえ実際に不可逆な操作を試させて壊れる様子を見たわけではないので、「安心して良い」と言い切るところまではまだ確認できていません。
とはいえ執筆時点でのオートモードの仕様はまだ変化が速い分野です。autoModeの各ルールもバージョンごとに挙動が変わっているので、実際に導入する際は自分の環境でclaude auto-mode configを叩いて、今の挙動を確認してから使い始めることをおすすめします。もし社内で試した方がいたら、力業で止められた・見逃されたケースがあればコメントで教えてもらえると助かります。
コメント