Anthropic делает auto mode режимом по умолчанию в Claude Code. С 14 августа новые сессии на тарифах Pro, Max и Team переходят на этот режим. Если пользователь сам выбрал другой дефолт, он получит разовый запрос о переходе; закреплённый дефолт не изменится. Классификатор тратит немного дополнительных токенов, но плату за него с Pro, Max и Team больше не берут.
Auto mode пока остаётся опциональным для Claude Enterprise, Claude API, Claude Platform on AWS, Amazon Bedrock, Google Cloud's Agent Platform и Microsoft Foundry. В течение месяца Anthropic планирует сделать его там режимом по умолчанию и тоже убрать плату. Enterprise-админы могут включить auto mode через managed settings.
Вместо постоянных запросов каждый вызов инструмента проходит через классификатор, который блокирует необратимые, разрушительные или направленные вовне действия. Если блок сработал, Claude находит более безопасный путь или спрашивает пользователя. При трёх блокировках подряд или двадцати за сессию режим откатывается к ручным подтверждениям.
Anthropic несколько месяцев тестировала auto mode против обычного кликанья по запросам: внутренний red-teaming, сторонние пентесты, исследование с 1053 платными тестерами, анализ реальных сессий. По всем метрикам auto mode не хуже или лучше ручного ревью. Люди одобряют 97% запросов на разрешения и отклоняют лишь 3%, а планы — в 39% случаев. Вместе с Apollo Research классификатор прогнали через синтетические атаки: доля пропущенных упала с 12% до 7%.
В эксперименте с тестерами люди заметили опасную команду лишь в 13.6% случаев, auto mode заблокировал 89%. В реальных инцидентах серьёзный вред случался с ручным подтверждением более чем вдвое чаще. Auto mode позволяет моделям вроде Claude Opus 5 работать часами, а пользователи Teams и Enterprise шлют примерно на 25% больше PR.
В оценке Trajectory Labs ни одна из 720 атак prompt injection не прошла против Claude Fable 5, Opus 5 и Sonnet 5 в auto mode. GPT-5.6 Sol в Codex с Auto-review пропустил 5.83%, в Full Access — 19.03%.
Внутри Anthropic auto mode предотвратил три инцидента: попытку опубликовать внутренний отчёт на публичном сайте, массовое убийство процессов, которое снесло бы сотни GPU тренировочных задач, и выдачу слишком широких прав при запросе read-only доступа.
Появились hard denies для эксфильтрации данных, правила для секретов и проверки публичности git push, проверка git status перед git reset --hard, API-сканер на попытки перехвата.
Компании уже используют режим в проде: Adobe — для агентов проверки страниц, Nuro — для ночных исследовательских задач, Gusto — против усталости от пермишенов, а Garner Health включила auto mode всем 550 сотрудникам.