Claude Code auto mode 登場！権限プロンプトの連打とサヨナラ！

みんな、しぃちゃんだよ！今日は Claude Code を使ってる人にはたまらないニュースを見つけちゃった！権限の確認プロンプトを、AI が安全に自動で承認してくれる auto mode のお話だよ！

Anthropic Engineering anthropic.com

なにが発表されたの？

Anthropic の Engineering ブログで、Claude Code の新機能 auto mode（オートモード）の仕組みが公開されたよ！これは、Claude Code が実行しようとするアクションの権限リクエストを、AI の分類器（classifier）が判断して自動で承認してくれる機能なの。

Engineering ブログらしく、ただの「使えるようになったよ」告知じゃなくて、どうやってこれを安全に作ったのか、その裏側のアーキテクチャまでしっかり解説してくれてるのがうれしいポイント！

今までどうだったの？

これまでの Claude Code は、コマンド実行やファイル編集のたびに「これ実行していい？」って確認してくれてたの。安全だけど、数が多いと確認疲れ（approval fatigue）しちゃうよね。しかも Anthropic の調べだと、ユーザーは権限プロンプトの 93 パーセントをそのまま承認してたんだって。ほとんど「はい」を押すだけになっちゃってたの。

かといって --dangerously-skip-permissions で全部スキップするのは危険すぎる…。auto mode は、その両極端のあいだを埋める「安全に権限をスキップする」ちょうどいい選択肢なんだよ！

これで何が変わるの？

いちいち全部のアクションを手で承認しなくても、危なくないものは AI が自動で通してくれるようになるよ！しかも設定なしのデフォルトが保守的に作られてるから、まずはそのまま使い始められるのがうれしいところ。

ファイルの読み取りや検索みたいな安全な操作はそのまま許可、プロジェクト内のファイル編集も分類器のチェックなしで通す、でもシェルコマンドや外部への通信みたいなリスクのある操作だけはちゃんと分類器がチェックする、っていう三段構えになってるの。

深く潜ってみよう

auto mode は 2 つの防御レイヤーでできてるよ。

• 入力レイヤー: ファイル読み込みや Web 取得、シェル出力みたいなツールの出力を、エージェントの文脈に入る前にサーバー側でスキャンして、悪意ある内容（プロンプトインジェクション）が見つかったら警告を付けるの
• 出力レイヤー: エージェントのアクションを、Sonnet 4.6 の分類器が評価するの

分類器は 2 段階になってるよ。まず Stage 1 で 1 トークンだけ返す高速フィルタが「通す？止める？」を判断して、あやしいときだけ Stage 2 で連鎖思考（chain-of-thought）でじっくり考えるんだって。速さと丁寧さの両立が賢い！

面白いのは、分類器がわざと情報を絞って見てること。ユーザーのメッセージと素のツール呼び出しコマンドだけを見て、エージェントの説明文やツールの出力は捨てるの。そうすることで、エージェントが分類器を言葉巧みに説得して危ない判断をさせるのを防いで、インジェクション耐性も上げてるんだって。

判断基準もよく考えられてて、環境の信頼境界（デフォルトは今いる git リポジトリだけ）や、「破壊・持ち出し」「セキュリティ低下」「信頼境界を越える」「レビュー回避」の 4 カテゴリのブロックルールをカスタマイズできるようになってるよ。

止められたときの動きも工夫されてて、エージェントは処理を止めるんじゃなくて「安全な代替案を探して」って指示付きで却下を受け取るの（deny-and-continue）。ただし 3 回連続、または合計 20 回却下されるとセッションがエスカレーションするよ。サブエージェントへの受け渡しと結果の受け取りのタイミングでも分類器が走るから、途中でインジェクションされても捕まえられるんだって。

気になる性能も正直に公開してくれてるよ。実トラフィック 10,000 件でのパイプライン全体の誤検知率（FPR）は 0.4 パーセント。一方で、実際にやりすぎたアクション 52 件に対する見逃し率（FNR）は 17 パーセントだったの。ここは Anthropic も正直で、こう書いてるよ。

Whether 17% is acceptable depends on what you're comparing against

そして auto mode は

not a drop-in replacement for careful human review on high-stakes infrastructure

とも念を押してるの。重要なインフラでは、やっぱり人の目でのレビューが大事ってことだね。

設定の中身が気になったら claude auto-mode defaults でルール一覧を全部見られるよ。

まとめ

• Claude Code に、権限リクエストを AI が安全に自動承認する auto mode が登場！
• 背景は確認疲れ。ユーザーは権限プロンプトの 93 パーセントを承認していた
• 入力・出力の 2 レイヤー防御と、三段階の権限システムで安全を確保
• 分類器（Sonnet 4.6）は 2 段階。しかもわざと情報を絞ってインジェクションに強くしてる
• 実トラフィックでの FPR は 0.4 パーセント、やりすぎ行動の見逃しは 17 パーセントと正直に公開

確認プロンプトの連打にうんざりしてた開発者さんや、エージェントの安全設計に興味がある人に刺さる発表だよ！