AIREITERAnthropic va a activar el modo automático por defecto en las sesiones nuevas de la mayoría de las aplicaciones de Claude. El cambio se anunció el 22 de octubre y llegará la semana siguiente a los planes Pro, Max y Team. Los administradores de Enterprise recibirán primero un correo, mientras que la API y las plataformas cloud seguirán funcionando con activación voluntaria por ahora.
Qué cambió el 22 de octubre y qué sigue igual
La actualización del 22 de octubre amplía a la mayoría de las aplicaciones de Claude un cambio que ya había llegado a Claude Code. Desde el 14 de agosto de 2026, las sesiones nuevas de Claude Code en los planes Pro, Max y Team se iniciaban en modo automático, mostrando un aviso único a los usuarios que tenían fijado otro modo predeterminado. La nota del 22 de octubre en el mismo anuncio de Anthropic confirma que el modo automático se desplegará la semana siguiente como opción predeterminada para las sesiones nuevas de la mayoría de las aplicaciones de Claude en esos planes. Los administradores de Enterprise recibirán una notificación por correo antes de que el cambio llegue a sus organizaciones.
Hay tres límites que no cambian. Los administradores de Team que hayan fijado un modo predeterminado en la configuración gestionada no verán ninguna modificación para sus usuarios. Enterprise, la API de Claude, Claude Platform en AWS, Amazon Bedrock, Google Cloud's Agent Platform y Microsoft Foundry seguirán requiriendo activación manual, aunque Anthropic prevé convertir allí el modo automático en la opción predeterminada durante el próximo mes. Los valores predeterminados personales que el usuario haya fijado también se conservan, salvo que acepte el aviso único para cambiar de modo.
La versión instalada también influye en lo que aparece en pantalla. Claude Code v2.1.283 y posteriores muestran auto como modo inicial integrado para las sesiones interactivas en el terminal y VS Code cuando no hay ningún modo de permisos configurado, según el seguimiento de las notas de versión. Una instalación nueva todavía puede arrancar en modo manual durante el primer lanzamiento si las funciones aún no han llegado mediante los indicadores de funcionalidad.
Cómo decide Claude cuándo permitir una acción
En lugar de pedir confirmación para cada paso, el modo automático de Claude envía cada llamada a una herramienta a un clasificador independiente, según explica Anthropic en su anuncio. El clasificador permite las acciones rutinarias y bloquea las que considera irreversibles, destructivas o dirigidas fuera del entorno de trabajo. Después, Claude busca una alternativa más segura o pide instrucciones directamente. Si una sesión acumula tres bloqueos consecutivos o veinte bloqueos en total, vuelve al sistema de aprobaciones manuales.
Las reglas de permisos explícitas se aplican antes que el clasificador. Las entradas de permissions.deny bloquean directamente la acción y ninguna decisión del clasificador puede anularlas, mientras que las entradas de permissions.ask siempre muestran una solicitud de confirmación. Las reglas de autorización amplias que permiten ejecutar código arbitrario, como Bash(python:*), quedan apartadas mientras el modo automático está activo para impedir que los comandos se salten por completo el clasificador.
El clasificador analiza más contexto que una lista estática de permisos. Anthropic asegura que comprueba el destino de un push de git o de una pull request —privado, de confianza o público— antes de ejecutar la acción, y que revisa el estado actual de git antes de lanzar comandos destructivos como git reset --hard.
El contenido externo procedente de páginas web, archivos o resultados de herramientas pasa por una comprobación contra prompt injection. Si algo parece un intento de inyección, Claude recibe una advertencia en su contexto. La extracción de datos pertenece a una categoría de bloqueo estricto que no se aprueba automáticamente; para ejecutar una acción de ese tipo hay que cambiar de modo o lanzar el comando directamente.
Por qué Anthropic cree que el modo automático es mejor que pulsar «Aprobar»
Anthropic presenta el cambio como una mejora de ergonomía respaldada por datos. Los usuarios aprueban el 97 % de las solicitudes de permisos en Claude Code, pero rechazan el 39 % de los planes que se les muestran. La compañía interpreta esa diferencia como una señal de que muchos usuarios hacen clic por inercia ante solicitudes individuales en lugar de revisar el plan completo. En junio de 2026, el 49,5 % de los usuarios activos de la CLI había escrito manualmente una regla de autorización para Bash, el 62 % había utilizado bypassPermissions o «no volver a preguntar», y el 25 % de las sesiones interactivas había comenzado en modo bypass.
Un estudio controlado puso cifras a ese comportamiento. Anthropic contrató a 1.053 probadores de pago a través de una empresa de investigación, sustituyó una solicitud de permiso de cada sesión por un comando claramente peligroso y registró la respuesta; el texto peligroso no ejecutaba ninguna acción. Las personas detectaron el comando el 13,6 % de las veces —143 de 1.053—, mientras que el modo automático bloqueó el 89 % de esos mismos comandos —937 de 1.053—.
En la comparación directa, el modo automático bloqueó 800 comandos que los usuarios habían aprobado, mientras que las personas solo bloquearon 6 que el modo automático había permitido. Además, el rendimiento humano cayó de aproximadamente un 17 % al principio a cerca de un 5 % después de 50 solicitudes previas o más, mientras que el del modo automático se mantuvo estable.
Los datos de producción y de terceros apuntan en la misma dirección, según el anuncio de Anthropic. Entre las sesiones marcadas entre mayo y junio de 2026, el 6,3 % de las sesiones aprobadas manualmente contenía daños a nivel de producción que el usuario no había solicitado explícitamente, frente al 2,4 % de las sesiones en modo automático. Trajectory Labs ejecutó 72 escenarios de prompt injection diez veces cada uno: ninguno de los 720 intentos tuvo éxito contra Claude Fable 5, Opus 5 o Sonnet 5 en modo automático, frente a una tasa de éxito del 5,83 % contra GPT-5.6 Sol en el modo Codex Auto-review.
El equipo de red teaming de Apollo Research redujo la tasa de fallos del clasificador del 12 % al 7 % tras reforzarlo con información sobre la visibilidad del repositorio, el estado de git y las reglas de tratamiento de datos. Anthropic también cita tres bloqueos internos que evitaron problemas —una subida fuera de la red que habría terminado en un sitio público de pegado, el cierre masivo de unos 2.000 pods que ponía en riesgo trabajos de entrenamiento de GPU y una ampliación demasiado amplia de un rol de facturación—, además de un 25 % más de pull requests entre clientes de Teams y Enterprise como Adobe, Nuro, Gusto y Garner Health.
Los problemas que aparecen al cambiar de modo
Los hilos de usuarios reales muestran fricciones que el anuncio apenas menciona. Las quejas se concentran en tareas habituales: commits, limpieza de worktrees, trabajo por SSH y en servidores, y comandos de despliegue que el modo automático bloquea o vuelve a solicitar.
«el clasificador automático pide permiso incluso para las operaciones más básicas, y aun así no las ejecuta después de darle permiso explícito». — u/dfritter4 en r/ClaudeCode
El punto más problemático es que aprobar una acción no siempre anula una denegación. Varios usuarios cuentan que aprueban una operación y ven cómo el sistema la rechaza de todos modos, obligándoles a cambiar al modo manual o utilizar el terminal.
«Hubo situaciones en las que tuve que volver al modo manual, decirle al agente que continuara, aprobar manualmente y después regresar al modo automático». — u/phoenixmatrix en r/ClaudeCode
Las caídas del clasificador son otro problema distinto de las denegaciones de seguridad. Durante un incidente que afectó a varios proyectos, los usuarios vieron el mensaje «El clasificador del modo automático en el servidor no emitió ningún veredicto» en distintos proyectos, aunque la página de estado no mostraba ninguna incidencia. La solución temporal fue cambiar al modo manual hasta que el servicio se recuperó.
También hay dudas sobre la calidad, planteadas en el debate sobre el despliegue predeterminado. A algunos usuarios les preocupa menos que Claude ejecute comandos destructivos que el hecho de que sobrediseñe las soluciones, se aleje del alcance original o tome malas decisiones de arquitectura al trabajar de forma autónoma. Esa fricción repetida está llevando a una minoría a volver a --dangerously-skip-permissions, protegido únicamente mediante git, contenedores y revisión antes de fusionar.
Cómo mantener puntos de control sin abandonar el modo automático
La decisión predeterminada que más sorprende a los desarrolladores es que los pushes y la creación de pull requests están permitidos en el modo automático, incluidos los pushes a la rama de trabajo y a la rama predeterminada. Los force push, la aparición de secretos en commits y las reescrituras del historial siguen bloqueados de forma flexible y requieren una intención explícita. Decir «limpia el repositorio» no autoriza un force push, mientras que nombrar la acción exacta sí puede hacerlo. Las ramas que identifican destinos de despliegue, como production, release o gh-pages, se evalúan por separado como despliegues de producción.
Si quieres conservar el modo automático para todo salvo los pushes y las pull requests, añade reglas ask específicas para el contenido. Estas se evalúan antes que el clasificador:
{ "permissions": { "ask": ["Bash(git push *)", "Bash(gh pr create *)"] } }Para una frontera que nunca deba cruzarse, utiliza permissions.deny en lugar de confiar en instrucciones escritas en el chat. Un «no hagas push hasta que lo revise» puede desaparecer cuando el contexto se compacte, pero una regla ask o deny permanece. Si las denegaciones se repiten para un destino conocido, normalmente significa que el clasificador no reconoce esa infraestructura; añadirla a autoMode.environment en la configuración del usuario o en la gestionada puede ayudar.
Revisa las denegaciones en la pestaña Recently denied de /permissions y pulsa r para reintentar una. También puedes auditar la configuración con claude auto-mode config, claude auto-mode defaults y claude auto-mode critique. Hay dos detalles importantes: las reglas allow específicas, como Bash(npm test), se resuelven antes que el clasificador y pueden dejar pasar un argumento destructivo sin revisar; en v2.1.193 o posteriores puedes establecer autoMode.classifyAllShell en true para clasificar cada comando de shell, aunque con cierto coste de latencia. Además, las listas personalizadas de allow, soft_deny, hard_deny o environment sustituyen por completo a las integradas salvo que mantengan la entrada literal "$defaults".
Desactívalo cuando lo necesites
Cambiar de modo durante una sesión requiere un solo gesto. Pulsa Shift+Tab en la CLI para alternar entre modos, utiliza el selector de modo en la aplicación de escritorio o inicia la sesión con claude --permission-mode manual. El cambio solo afecta a la sesión actual.
Para fijar el modo manual de forma permanente, guarda el valor predeterminado en la configuración del usuario, dentro de ~/.claude/settings.json:
{ "permissions": { "defaultMode": "manual" } }En v2.1.200 y posteriores, el valor manual es un alias de default. El archivo de repositorio .claude/settings.json no puede conceder ni fijar el modo automático: allí se ignoran defaultMode: auto y bypassPermissions. Por tanto, la activación o desactivación debe configurarse en los ajustes del usuario o en la configuración gestionada. Los administradores de la organización pueden fijar el modo predeterminado con defaultMode en la configuración gestionada, o eliminar por completo el modo automático estableciendo permissions.disableAutoMode en "disable". Desde v2.1.251, esta última opción también se aplica a las sesiones que ya están en marcha. El clasificador del modo automático también revisa los comandos de shell durante el modo plan cuando useAutoModeDuringPlan está activado, que es el valor predeterminado allí donde el modo automático está disponible.
¿Conviene dejarlo activado o fijar el modo manual?
La elección debería depender del impacto potencial, no del entusiasmo por la automatización. El modo automático encaja especialmente bien en trabajos individuales de exploración, refactorizaciones locales aisladas y reversibles, actualizaciones de dependencias, generación de pruebas y limpieza de documentación, siempre con el diff y la suite de pruebas como filtros. En repositorios compartidos hace falta una condición previa: rutas protegidas, bloqueos estrictos para secretos y manifiestos de despliegue, y sandboxes o ramas desechables acordadas antes de empezar.
| Flujo de trabajo | Modo recomendado | Protección que conviene configurar primero |
|---|---|---|
| Exploración individual y cambios reversibles | Modo automático | Revisión de Recently denied + hábito de reintentar con r |
| Repositorio de equipo y trabajo habitual de funcionalidades | Modo automático con puntos de control para los pushes | ask para git push * y gh pr create * |
| Despliegues de producción, IAM, secretos y respuesta ante incidentes | Modo manual o modo plan + revisión humana del diff | Reglas deny para las fronteras que nunca deben cruzarse |
| Sesiones reguladas o aptas para HIPAA | Manual —el modo automático sigue disponible para cambiar a él— | defaultMode gestionado + auditoría de quién puede modificarlo |
Actualiza la CLI y las integraciones del editor a la misma línea de versiones, establece un único valor predeterminado gestionado, define rutas protegidas y bloqueos estrictos, prueba las primeras ejecuciones en devcontainers o máquinas virtuales aisladas con datos falsos y mantén git diff, las ejecuciones de pruebas y una revisión real como filtros antes de fusionar. Según Anthropic, aproximadamente el 10 % de las sesiones desde mediados de mayo incluye una denegación del clasificador.
Preguntas frecuentes
¿El modo automático de Claude consume tokens adicionales?
No hay ningún cargo adicional en los planes Pro, Max y Team, según Anthropic, con efecto desde el 7 de agosto de 2026. Las sesiones de Enterprise, la API y las plataformas cloud siguen contabilizando las llamadas al clasificador del lado del cliente dentro del uso de tokens.
¿Qué hago si el modo automático bloquea una tarea legítima?
Abre /permissions, consulta la pestaña Recently denied y pulsa r para reintentar la denegación. Si el mismo destino se bloquea repetidamente, añade la infraestructura de confianza a autoMode.environment.
¿Por qué se ejecutó un push a main sin mostrar una solicitud?
En el modo automático, los pushes a cualquier rama del repositorio de trabajo, incluida la rama predeterminada, están permitidos por defecto. Añade Bash(git push *) a permissions.ask para forzar un punto de control, o a permissions.deny si necesitas un bloqueo estricto.
¿Es seguro utilizar el modo automático en producción?
Anthropic presenta el modo automático como una opción más segura que aprobar solicitudes por inercia, pero sigue recomendando una revisión humana para los cambios de alto riesgo en la infraestructura de producción. Mantén el modo automático para trabajos reversibles y utiliza el modo manual o plan para despliegues, secretos e IAM.
¿Cómo distingo una denegación de seguridad de una caída del clasificador?
Una denegación de seguridad identifica el motivo del bloqueo y Claude normalmente propone otra vía. Una caída con el mensaje «sin veredicto» bloquea a la vez las escrituras y las acciones de Bash en varios proyectos. Comprueba /status para ver la fila del servidor del modo automático y cambia al modo manual si sospechas que hay una interrupción.
¿El modo automático funciona igual en Claude Code y en las aplicaciones de Claude?
El mecanismo del clasificador es compartido, pero las fechas de despliegue son distintas: Claude Code se adelantó el 14 de agosto, las aplicaciones de Claude lo recibirán la semana siguiente y las superficies de Enterprise y la API seguirán requiriendo activación voluntaria hasta que se notifique a los administradores.
Lectura relacionada: guía del modo automático de OpenAI Codex