Claude Code 的 Pro、Max 和 Team 计划现在默认使用自动模式。

事件核心：发生了什么

Anthropic 正在对 Claude Code 的交互范式做出一次重大调整：自动模式将成为多数付费计划的默认设置。在这之前，代理执行命令通常需要逐项获得用户批准；调整为自动模式后，系统会自行判断操作风险并执行，不再每次打断工作流。

Simon Willison 在 8 月 8 日的链接博客中引述了 Anthropic 高管 Cat Wu 和 Thariq Shihipar 在 AI Engineer World’s Fair 上的说法：Anthropic 内部几乎所有员工都在使用自动模式。Anthropic 还发布了两项关键数据：其一，在 1,053 名付费测试者参与的实验中，每个会话中途会有一个无害权限请求被替换为明显危险的命令，结果只有 13.6% 的人类参与者拒绝执行，而自动模式能够阻止 89% 的危险操作；其二，第三方机构 Trajectory Labs 针对 Claude Code 和 Codex 测试了 720 次间接提示注入攻击，Anthropic 声称 Claude Fable 5、Opus 5 和 Sonnet 5 在自动模式下没有一次攻击成功。

为什么重要

这背后是 AI 代理安全范式的一次方向性选择。主流编码代理一直依赖“逐条人工确认”来兜底安全，但确认疲劳是真实存在的：当用户每小时要点击几十次“允许”，审核很可能沦为形式。Anthropic 的数据揭示了一个反直觉的事实——普通人的持续注意力并不可靠，自动化过滤在某些场景下反而能拦截更多危险操作。

更值得关注的是提示注入的攻防。Willison 在原文中明确表达过对 2026 年“编码代理安全灾难”的担忧，而 Anthropic 这次放出的 720 次攻击全部失败的评估结果，试图回应这一质疑。若该评估可信，意味着代理在执行不可信第三方代码时的风险模型需要被重新计算；若其中存在评估盲区，那么行业对自动模式的信心可能建立在脆弱基础上。

对用户/开发者/创作者的影响

对于 Claude Code 的付费用户，最直接的变化是工作流中断次数大幅减少，编程体验会流畅很多。但你需要意识到，自动模式意味着你是在用“信任模型判断”替代“信任自己的每次点击”，这更适合代码库权限隔离良好、已有备份习惯的开发者。如果当前项目涉及生产环境数据库或敏感凭证操作，建议在切换后主动观察代理的行为边界。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

对于正在构建 AI 代理产品的开发者，这次默认调整实际上是在推动行业朝着“分级自动化安全”的方向演进：低风险操作完全自主，高风险操作仍需拦截。Willison 在文中指出了一个尚未解决的漏洞场景：恶意第三方包可以伪装成测试步骤，诱导代理执行看似合法的数据抓取命令（例如先执行某个“模型文件获取”包再运行测试），这类攻击很难被单纯的“自动模式”识别。换句话说，无论代理如何自动，平台层的数据访问隔离和最小权限原则仍然不可放弃。

值得关注的后续

第一，Anthropic 承诺“几周内”发布的安全评估细节尚未完全公开，可以等待完整测试方法和边界条件披露，届时才能判断 720 次攻击零成功的含金量。第二，自动模式默认化后，Claude Code 的事故报告或用户反馈中是否会出现新的安全事件，这比官方测试更能说明问题。第三，OpenAI 的 Codex、Google 的 Jules 等同类产品是否会跟进默认自动模式，将决定这成为行业标准还是 Anthropic 的差异化策略。

来源：Simon Willison