Anthropic переводить свій інструмент Claude Code на автоматичний режим (auto mode) як стандартний варіант для тарифів Pro, Max і Team. Нововведення набуде чинності 14 серпня, а компанія обґрунтовує це тим, що штучний агент, який не зупиняється перед кожним кроком для підтвердження, у підсумку діє надійніше за людину, яка механічно натискає «OK» на всі запити.

Про проблему ручних підтверджень раніше говорили віцепрезидентка Anthropic Кет Ву та інженер-програміст Тарік Шіхіпар на конференції AI Engineer World's Fair. За їхніми словами, всередині самої компанії автоматичний режим використовує «майже кожен», а ризики промпт-ін'єкцій і витоку даних у ньому нижчі, ніж коли рішення приймає людина.

У чому суть автоматичного режиму

Замість зупинки перед кожною операцією й очікування дозволу від користувача, система тепер прогонює будь-який виклик інструменту через окремий класифікатор. Він блокує дії, які можуть завдати незворотної чи руйнівної шкоди або виходять за межі робочого середовища користувача.

Якщо класифікатор зупиняє команду, Claude намагається знайти безпечніший спосіб виконати задачу самостійно або напряму звертається до людини за поясненнями. Коли прогресу немає — три блокування підряд або двадцять за сесію — Claude Code самостійно перемикається назад на ручне підтвердження.

Окремо працює механізм «жорстких заборон»: дії, пов'язані з витоком даних, наприклад передача коду чи секретів за межі системи, класифікатор не пропускає в жодному разі. Щоб обійти таке обмеження, автоматичний режим потрібно вимкнути вручну.

Аргументи Anthropic: статистика на підтримку рішення

Компанія посилається на кілька досліджень, які, на її думку, виправдовують перехід на новий стандарт.

  • У контрольованому експерименті за участю 1053 платних тестувальників один із запитів на дозвіл посеред сесії підмінили явно шкідливою командою. Люди помітили загрозу лише у 13,6% випадків (143 з 1053), тоді як автоматичний режим заблокував 89% спроб (937 з 1053). Пильність людей падала з часом — з 17% на початку сесії до 5% після понад 50 попередніх запитів, тоді як показник автоматичного режиму лишався стабільним.
  • Аналіз реальних сесій за травень–червень 2026 року показав, що серед сесій, позначених системою безпеки для перевірки, ручне схвалення вдвічі частіше супроводжувалося серйозною ненавмисною шкодою: на рівні «промислової» тяжкості (7 і більше балів із 10) це 6,3% сесій із ручним підтвердженням проти 2,4% в автоматичному режимі.
  • Незалежна компанія Trajectory Labs протестувала моделі Claude Fable 5, Opus 5 та Sonnet 5 на 720 спробах промпт-ін'єкцій — жодна атака в автоматичному режимі не спрацювала. Для порівняння: у GPT-5.6 Sol в режимі Codex «Auto-review» частка успішних атак становила 5,83%, а в режимі повного доступу — 19,03%.
  • За даними Anthropic, серед команд і корпоративних клієнтів користувачі автоматичного режиму випускають приблизно на 25% більше pull request'ів, оскільки агент може працювати без перерв годинами — наприклад, запущена ввечері сесія Claude Opus 5 здатна підготувати готові PR уже до ранку.

Компанія навела три приклади, коли класифікатор усередині самої Anthropic зупиняв небезпечні дії: спробу опублікувати внутрішній звіт на публічному сервісі після невдалого завантаження на закритий диск, масове видалення близько двох тисяч подів із запущеними тренуваннями моделей, а також надання надлишкових прав адміністратора замість запитаного доступу «лише читання» до біллінгу.

Серед клієнтів, які вже застосовують автоматичний режим як стандартний у продакшн-процесах, Anthropic називає Adobe, Nuro, Gusto та Garner Health.

Ризики та застереження

Попри оптимістичну статистику, самі дані та коментарі незалежних спостерігачів містять кілька важливих застережень.

  • Навіть у контрольованому тесті автоматичний режим не спіймав 11% небезпечних дій — тобто повного захисту він не гарантує. Класифікатор лише знижує ризик, а не усуває його повністю. Anthropic сама наголошує, що для критичних змін у продакшн-інфраструктурі варто продовжувати перевіряти дії Claude вручну.
  • Дослідник Саймон Віллісон, який стежить за темою, хотів би незалежного підтвердження заявлених 0% успішних атак. На його думку, складним для такого захисту залишається сценарій, коли шкідливий пакет змушує агента спершу виконати нібито нешкідливу команду, а потім — шкідливу.
  • Тестування на промпт-ін'єкції проводили через однакову браузерну інтеграцію Trajectory Labs, а не через фірмові розширення типу Chrome-плагінів Anthropic чи OpenAI. Тобто результати радше описують саму модель, а не повний набір захисних механізмів конкретного продукту.
  • Аналіз показує, що значна частка користувачів і так уже діє «на автоматі»: 97% запитів на дозвіл схвалюють без роздумів, 62% користувачів хоча б раз застосовували режим bypassPermissions, а 25% інтерактивних сесій одразу стартують без будь-яких перевірок. Це означає, що нинішня «ручна» модель безпеки вже й так доволі слабка, і порівняння виходить не з ідеальним, а з реальним станом речей.

Він хотів би незалежного підтвердження заявлених 0% успішних атак, адже сценарій, коли шкідливий пакет інструктує агента послідовно виконати спершу нібито нешкідливу, а потім шкідливу команду, залишається важко покритим захистом такого типу.

Саймон Віллісон, дослідник

Що далі

Для Enterprise-клієнтів, а також користувачів Claude API, AWS, Google Cloud та Microsoft Foundry автоматичний режим поки залишається опційним. Anthropic планує зробити його стандартом і для цих категорій протягом найближчого місяця. Перемкнути режим вручну можна комбінацією Shift+Tab у CLI або через випадне меню в десктоп-застосунку.

Нагадаємо, кілька днів тому Anthropic запустила безкоштовний курс Claude Code in Action для розробників.

Джерело: Highload.tech