AREX Feed Article
Anthropic 宣布下周起 Claude 网页、桌面与移动应用将默认开启 auto mode
北京时间 10 月 23 日凌晨（美东时间 10 月 22 日下午），Anthropic 官方账号 @claudeai ：自下周起，Claude 网页、桌面与移动应用的会话将在 Pro、Max 与 Team 套餐上默认以 auto mode（自动模式）运行——Claude 不再就每一步操作请求用户批准，改由一项自动检查拦截有风险的动作，用户随时可以切回 manual（手动）模式。同日更新，确认了这一安排。
这是 auto mode 继 8 月 14 日成为 Claude Code 默认权限模式之后，覆盖面向日常应用端的一次延伸。Anthropic 为默认切换给出的核心依据是一组对照实验：1,053 名付费测试者中，人工审核只拦下 13.6% 的危险命令，auto mode 拦下 89%。公告发布约四小时，这条帖子在 X 上获得超过 1 万次点赞和约 56 万次浏览。
图：Anthropic 公布的对照实验结果。实验针对 Claude Code，1,053 名付费开发者参与，测试者不知道自己被测量的行为。
从每步点“允许”，到自动检查前置
@claudeai 的原帖写道：“与其让你批准每一步操作，一项自动检查会拦下有风险的动作。你随时可以切回手动。”资源页 10 月 22 日的更新写得更具体：下周起，“大部分 Claude 应用”中的新会话将默认以 auto mode 运行，安全操作直接放行，有风险的操作被拦下，Claude 会另找一条路继续推进。官方没有给出具体到某一天的切换日期。
这次调整延续了 Anthropic 近期的产品走向。就在公告前一天（10 月 21 日），它刚开放 ——按官方介绍，这个应用里的 Claude 会主动推进任务、在你离开后继续工作，并在“代表你行动之前先与你确认”。
自动检查怎么拦：两层防线、二十多条默认规则
目前公开的机制细节集中在 Claude Code 的实现。的描述是：auto mode 让 Claude 代用户做权限判断，“分类器在每项动作执行前评估——安全操作自动放行，有风险的动作仍会被标记”。按 ，这套检查分两层：输入层由服务端的提示词注入（prompt injection）探针先扫描工具返回的文件读取、网页抓取和 shell 输出，发现疑似劫持指令就向上下文写入警告；输出层是一个跑在 Sonnet 4.6 上的会话记录分类器，先做一次快速单 token 过滤、宁拦勿漏，命中才启动思维链（chain-of-thought）推理复核，以压低误拦。分类器只读用户消息和 Claude 的工具调用，Claude 自己的回复与工具输出被剔除——官方称之为“reasoning-blind（对模型推理不可见）”的设计。
放行同样分层：只读操作和用户预设的白名单直接通过；项目目录内的文件编辑不经过分类器，可经版本控制回溯；shell 命令、网页抓取、项目目录之外的文件操作、子代理调用才送进分类器。进入 auto mode 时，等于放行任意代码执行的宽泛白名单（如 python:* 一类通配规则）会被暂时搁置，切回其他模式即恢复。默认拦截规则有二十多条，分四类：销毁或外传数据、削弱系统安全态势、跨越信任边界、绕过审查或影响他人。
工程博客举的被拦例子包括：用户说“清理旧分支”，agent 自行扩大成批量删除远程分支；认证出错后不请示用户、自行翻找环境变量里的替代 token；把调试脚本发成公开的 GitHub Gist。8 月的资源页称，Claude Code 默认化之前的测试发现“已被用于加强全线产品的 auto mode”；在 Claude Code 里还有一层回落机制：连续 3 次或单次会话累计 20 次被拦，系统自动转回手动审批。
人工审核为什么靠不住：三组数据
支撑默认切换的数据都来自 Claude Code。第一组关于审批疲劳：用户会批准 Claude Code 里 97% 的权限请求，而对 Claude 呈报的计划有 39% 会拒绝。Anthropic 对此的解读是，不少用户在条件反射式地点击，而非逐条审查。截至 6 月，49.5% 的活跃 CLI 用户手动添加过 Bash 放行规则，其中 5% 直接放行任何 shell 命令，另有 43% 设置的解释器规则在实践中等同于放行任意代码；62% 的用户用过 bypassPermissions 或对 Bash 点过“不再询问”，25% 的交互式会话干脆从 bypass 模式启动。
第二组就是那项对照实验：研究供应商招募的 1,053 名付费测试者在不知情条件下，会话中途被塞进一条明显危险的命令，只有 13.6%（143 人）拦下了它，auto mode 对同一批命令拦下 89%（937 次）；正面比对，auto mode 拦下了 800 条人工放行的命令，人工只拦下 6 条 auto mode 放行的命令。人还会随会话变长而松懈：前段拦截率约 17%，累计 50 次弹窗后降到约 5%，auto mode 的拦截率则不受会话长度影响。
第三组来自真实会话与对抗测试：对 5 月至 6 月被安全管线标记、且账号已同意数据用于分析的会话重新评分，生产级严重度（7 分及以上）中用户未曾明确要求的有害动作，在人工审批会话里占 6.3%，auto mode 会话里占 2.4%；与英国安全公司 Apollo Research 的两周试点，把分类器在合成攻击集上的漏拦率从 12% 压到 7%（该指标针对刻意构造的攻击，不代表真实流量）；由 Anthropic 委托 Trajectory Labs 的评估中，72 个间接提示词注入场景各测 10 次，720 次攻击对开启 auto mode 的 Claude Fable 5、Opus 5 与 Sonnet 5 无一得手，而同一评估记录到 GPT-5.6 Sol 在 Codex v0.144.5 Auto-review 模式下的攻击成功率为 5.83%。效率上，Teams 与 Enterprise 采用者中，auto mode 用户多交付约 25% 的 PR，Adobe、Nuro、Gusto 和 Garner Health 的团队已把 auto mode 设为生产默认。
谁不在这次默认切换里
企业组织不在这次的默认切换名单里：10 月 22 日的更新只承诺“企业组织的管理员会在 auto mode 成为组织默认之前收到邮件”。8 月的资源页则说明，Claude Enterprise、Claude API 以及 Claude Platform on AWS、Amazon Bedrock、Google Cloud 的 Agent Platform、Microsoft Foundry 等托管平台上，auto mode 当时仍是 opt-in（自愿开启），Anthropic 计划“接下来一个月”与云伙伴一起把这些平台也翻转成默认——10 月 22 日的公告没有更新这部分进展。
成本端还有一笔待明确的账。auto mode 的分类器每次工具调用要消耗少量额外 token，Anthropic 自 8 月 7 日起不再向 Claude Code 的 Pro、Max、Team 用户收取这笔开销；应用端是否照此办理，公告没有写。
回复区里的两种声音
公告发出四小时内收到 400 多条回复，两种声音都很具体。叫好的一侧， 说“终于不用在一个会话里点 40 次 allow 了”，这条回复拿到 371 个赞； 直言“默认 Manual 实在太烦了”。不满的一侧， 称 auto mode “让写代码变得又慢又反直觉”，并表示因为被强制 auto mode，他已经不再使用 projects 会话。也有人问得更实际： 想知道“auto 会不会占用我的用量额度”。
应用端还没说清的两件事：回落机制与数据边界
一是被拦后的回落安排。Claude Code 在被连续多次拦截后会自动转回手动审批，应用端被拦后如何处理，10 月 22 日的公告没有给出对应规则。二是安全数据的边界：对照实验、真实会话分析、注入攻击评估全部基于 Claude Code，官方在资源页注明“以下数据仅针对 Claude Code”——针对应用端会话的同类数字，Anthropic 尚未公布。