AIREITER22 октября Anthropic объявила, что на следующей неделе автоматический режим станет стандартным для новых сессий в большинстве приложений Claude на тарифах Pro, Max и Team. Администраторы Enterprise сначала получат уведомление по электронной почте, а API и облачные платформы пока останутся в режиме добровольного подключения.
Что изменилось 22 октября, а что осталось прежним
Обновление от 22 октября распространяет изменение из Claude Code на большинство приложений Claude. С 14 августа 2026 года новые сессии Claude Code на тарифах Pro, Max и Team запускаются в автоматическом режиме. Пользователи, которые заранее закрепили другой режим, при первом запуске видят однократный запрос на переключение. В объявлении Anthropic от 22 октября говорится, что на следующей неделе auto mode станет режимом по умолчанию для новых сессий в большинстве приложений Claude на тарифах Pro, Max и Team. Администраторов Enterprise уведомят по электронной почте до изменения настроек их организаций.
При этом три границы не сдвинулись. Если администратор Team закрепил режим в управляемых настройках, для пользователей ничего не изменится. Enterprise, Claude API, Claude Platform на AWS, Amazon Bedrock, Google Cloud's Agent Platform и Microsoft Foundry по-прежнему работают по схеме opt-in; Anthropic планирует сделать автоматический режим стандартным и там в течение следующего месяца. Личные закреплённые настройки также сохраняются, если пользователь не согласится на однократное переключение.
Имеет значение и версия клиента. Согласно отслеживанию заметок о релизах, Claude Code v2.1.283 и более новые версии запускают интерактивные сессии в терминале и VS Code в автоматическом режиме, если permission mode не задан. Однако новая установка при первом запуске всё ещё может включить ручной режим, если feature flags ещё не дошли до клиента.
Как Claude auto mode принимает решения
В автоматическом режиме каждый вызов инструмента проходит через отдельный классификатор — Claude не запрашивает подтверждение на каждом шаге, объясняет Anthropic. Классификатор пропускает обычные действия и блокирует те, что считает необратимыми, разрушительными или выходящими за пределы рабочей среды. После этого Claude либо ищет более безопасный путь, либо обращается к пользователю напрямую. Если за сессию подряд набирается три блокировки или всего двадцать, система возвращается к ручному подтверждению.
Явные правила разрешений в Claude auto mode срабатывают раньше классификатора. Записи в permissions.deny блокируют действие безоговорочно — вердикт классификатора не может его отменить. Правила из permissions.ask всегда требуют подтверждения. Широкие разрешения, позволяющие произвольное выполнение кода, например Bash(python:*), во время работы auto mode не учитываются: команды не должны обходить классификатор целиком.
Классификатор учитывает контекст, которого нет у обычного статического списка разрешений. Anthropic утверждает, что перед выполнением git push или созданием pull request система проверяет назначение операции — приватное, доверенное или публичное. Перед разрушительными командами вроде git reset --hard она также анализирует текущее состояние git.
Внешний контент из веб-страниц, файлов и результатов работы инструментов проходит проверку на prompt injection. Если фрагмент похож на попытку внедрения инструкций, в контекст Claude добавляется предупреждение. Вывод данных наружу относится к категории жёсткого запрета и автоматически не разрешается: для такого действия нужно сменить режим или выполнить команду напрямую.
Почему Anthropic считает auto mode лучше постоянных нажатий Approve
Anthropic объясняет переход не только удобством, но и статистикой. В Claude Code пользователи одобряют 97% запросов на разрешение, но отклоняют 39% предложенных планов. По мнению компании, разрыв показывает: отдельные запросы часто подтверждают машинально, не вникая в содержание. По состоянию на июнь 2026 года 49,5% активных пользователей CLI вручную создавали правило разрешения для Bash, 62% использовали bypassPermissions или команду «don't ask again», а 25% интерактивных сессий начинались в режиме обхода разрешений.
Контролируемое исследование позволило измерить этот эффект. Anthropic наняла через исследовательского подрядчика 1 053 платных тестировщика, заменила один запрос разрешения в каждой сессии на явно опасную команду и зафиксировала реакцию. Сама команда ничего не выполняла. Люди распознали её только в 13,6% случаев — 143 из 1 053, тогда как auto mode заблокировал 89% таких команд — 937 из 1 053.
В прямом сравнении автоматический режим заблокировал 800 команд, которые люди пропустили, а люди остановили лишь 6 команд, разрешённых auto mode. При этом эффективность людей снизилась примерно с 17% в начале до примерно 5% после 50 и более предыдущих запросов, тогда как результат автоматического режима оставался стабильным.
По данным Anthropic, производственная статистика и сторонние тесты показывают ту же тенденцию. Среди отмеченных сессий за период с мая по июнь 2026 года в 6,3% сессий с ручным подтверждением встречался вред для production-уровня, которого пользователь явно не запрашивал. Для auto mode этот показатель составил 2,4%. Trajectory Labs провела 72 сценария prompt injection по десять раз каждый: против Claude Fable 5, Opus 5 и Sonnet 5 в автоматическом режиме не сработала ни одна из 720 попыток, тогда как против GPT-5.6 Sol в Codex Auto-review mode успешными оказались 5,83% атак.
В ходе red-team-тестирования Apollo Research долю промахов классификатора удалось снизить с 12% до 7%, добавив проверки видимости репозитория, состояния git и правил работы с данными. Anthropic также приводит три случая, когда система предотвратила проблему: загрузку данных за пределы сети с запасным вариантом в виде публичного paste-сервиса, массовое завершение примерно 2 000 процессов, способное нарушить GPU-задачи обучения, и чрезмерное расширение роли, связанной с биллингом. Кроме того, среди пользователей Teams и Enterprise, включая Adobe, Nuro, Gusto и Garner Health, число pull request выросло примерно на 25%.
С какими проблемами сталкиваются пользователи
Обсуждения реальных пользователей показывают и те неудобства, о которых в объявлении говорится мало. Больше всего нареканий вызывают обычные операции: коммиты, очистка worktree, работа по SSH и с серверами, а также команды деплоя, которые auto mode блокирует или повторно отправляет на подтверждение.
«Классификатор auto mode запрашивает разрешение даже для самых простых операций и всё равно не выполняет их после явного разрешения». — u/dfritter4 на r/ClaudeCode
Самый неприятный сценарий — когда подтверждение не отменяет блокировку. Несколько пользователей рассказывают, что одобряют действие, но оболочка всё равно отказывается его выполнять. В итоге приходится переключаться в ручной режим или запускать команду через терминал.
«Бывали ситуации, когда мне приходилось возвращаться в ручной режим, говорить агенту продолжать, вручную подтверждать действие, а потом снова включать auto». — u/phoenixmatrix на r/ClaudeCode
Сбои классификатора — отдельная проблема, не связанная с отказами по соображениям безопасности. Во время одного инцидента сразу в нескольких проектах пользователи видели сообщение «The server-side auto mode classifier gave no verdict», хотя на странице статуса не было указано никаких проблем. Временным решением стало переключение в ручной режим до восстановления сервиса.
Наконец, пользователей беспокоит качество работы — об этом говорили в обсуждении перехода на режим по умолчанию. Речь не только о разрушительных командах: Claude может усложнять решение, уходить за пределы задачи или выбирать слабую архитектуру, пока работает автономно. Из-за повторяющихся проблем часть пользователей возвращается к --dangerously-skip-permissions, полагаясь лишь на git, контейнеры и проверку перед слиянием.
Как сохранить контрольные точки, не отключая Claude auto mode
Больше всего разработчиков удивляет настройка, при которой auto mode разрешает push и создание pull request — в том числе в рабочую и основную ветки. Force push, появление секретов в коммитах и переписывание истории по-прежнему мягко блокируются и требуют явно выраженного намерения. Фраза «приведи репозиторий в порядок» не считается разрешением на force push, а точное указание такой операции — считается. Ветки с именами, обозначающими цели деплоя, например production, release или gh-pages, рассматриваются как production-деплои.
Если автоматический режим нужен для всего, кроме push и pull request, добавьте правила ask с привязкой к содержимому. Они проверяются раньше классификатора:
{ "permissions": { "ask": ["Bash(git push *)", "Bash(gh pr create *)"] } }Для границы, которую нельзя пересекать ни при каких обстоятельствах, используйте permissions.deny, а не инструкции в чате. Устная просьба «не отправляй изменения, пока я не проверю» может исчезнуть после сжатия контекста, а правило ask или deny сохраняется. Если система регулярно блокирует известное назначение, скорее всего, классификатор не распознаёт инфраструктуру; добавьте её в autoMode.environment в пользовательских или управляемых настройках.
Проверить отклонённые действия можно на вкладке Recently denied в /permissions; клавиша r повторно запускает выбранную операцию. Настройки удобно проверять командами claude auto-mode config, claude auto-mode defaults и claude auto-mode critique. Есть два важных нюанса. Во-первых, узкие правила allow, например Bash(npm test), обрабатываются до классификатора и могут незаметно пропустить разрушительный аргумент. В v2.1.193 и более новых версиях можно включить autoMode.classifyAllShell со значением true, чтобы классифицировать каждую shell-команду, заплатив за это некоторой задержкой. Во-вторых, пользовательские списки allow, soft_deny, hard_deny или environment полностью заменяют встроенные, если в них не оставить буквальную запись "$defaults".
Как отключить автоматический режим
Переключить режим для текущей сессии можно одним действием. В CLI нажмите Shift+Tab, чтобы циклически переключать режимы, или выберите нужный вариант в меню режима настольного приложения. Ещё один способ — запустить сессию командой claude --permission-mode manual. Изменение действует только в текущей сессии.
Чтобы навсегда закрепить ручной режим, сохраните настройку по умолчанию в пользовательском файле ~/.claude/settings.json:
{ "permissions": { "defaultMode": "manual" } }В v2.1.200 и более новых версиях значение manual — это псевдоним default. Файл .claude/settings.json на уровне репозитория не может включить или закрепить auto mode: заданные там defaultMode: auto и bypassPermissions игнорируются. Поэтому opt-in и opt-out нужно задавать в пользовательских или управляемых настройках. Администраторы организации могут закрепить режим по умолчанию с помощью defaultMode в управляемых настройках либо полностью убрать auto mode, установив permissions.disableAutoMode в значение "disable". Начиная с v2.1.251 эта настройка действует даже на уже запущенные сессии. Классификатор автоматического режима также проверяет shell-команды во время plan mode, если включён параметр useAutoModeDuringPlan. Там, где auto mode доступен, по умолчанию он включён.
Оставить auto mode или закрепить ручной режим?
Выбирайте режим по масштабу возможного ущерба, а не по уровню энтузиазма. Для одиночных экспериментов, изолированных локальных рефакторингов, обновления зависимостей, генерации тестов и уборки документации auto mode подходит лучше всего — при условии, что перед слиянием есть diff и прогон тестов. В общих репозиториях нужна дополнительная подготовка: защищённые пути, жёсткие запреты для секретов и манифестов деплоя, а также заранее согласованные песочницы или временные ветки.
| Сценарий | Рекомендуемый режим | Что настроить заранее |
|---|---|---|
| Личные эксперименты, обратимые изменения | Auto mode | Проверять Recently denied и использовать r для повтора |
| Командный репозиторий, обычная разработка функций | Auto mode с контрольными точками перед push | ask для git push * и gh pr create * |
| Production-деплои, IAM, секреты, реагирование на инциденты | Ручной или плановый режим + проверка diff человеком | deny для границ, которые нельзя пересекать |
| Сессии, подпадающие под требования регулирования или HIPAA | Ручной режим (auto mode остаётся доступным для переключения) | Управляемый defaultMode + аудит тех, кто может его изменить |
Обновите CLI и интеграции с редакторами до одной линии релизов, задайте единый управляемый режим по умолчанию, определите защищённые пути и жёсткие запреты. Первые запуски проводите в devcontainer или изолированных виртуальных машинах с ненастоящими данными. Перед слиянием обязательными контрольными точками должны оставаться git diff, запуск тестов и полноценная проверка кода. По данным Anthropic, примерно в 10% сессий с середины мая встречается блокировка классификатором.
FAQ
Нужно ли платить за дополнительные токены Claude auto mode?
На тарифах Pro, Max и Team дополнительная плата не взимается — это действует, согласно Anthropic, с 7 августа 2026 года. В сессиях Enterprise, API и облачных платформ вызовы клиентского классификатора по-прежнему учитываются в расходе токенов.
Что делать, если auto mode блокирует легитимную операцию?
Откройте /permissions, перейдите на вкладку Recently denied и нажмите r, чтобы повторить отклонённое действие. Если одно и то же назначение постоянно блокируется, добавьте доверенную инфраструктуру в autoMode.environment.
Почему push в main прошёл без запроса?
В auto mode по умолчанию разрешён push в любую ветку рабочего репозитория, включая основную. Добавьте Bash(git push *) в permissions.ask, чтобы всегда получать контрольную точку, или в permissions.deny, если нужна жёсткая граница.
Безопасен ли auto mode для production-задач?
Anthropic считает auto mode более безопасным, чем привычка бездумно нажимать Approve, но всё равно рекомендует проверку человеком для важных изменений production-инфраструктуры. Оставляйте auto mode для обратимых операций, а деплои, секреты и IAM выполняйте в ручном или плановом режиме.
Как отличить отказ по безопасности от сбоя классификатора?
При отказе по безопасности система указывает причину блокировки, а Claude обычно предлагает другой путь. При сбое с сообщением «no verdict» запись и Bash-действия одновременно блокируются во всех проектах. Проверьте строку auto-mode server в /status и перейдите в ручной режим, если подозреваете сбой.
Одинаково ли auto mode работает в Claude Code и приложениях Claude?
Механизм классификации общий, но сроки rollout различаются: Claude Code перешёл на новый режим 14 августа, приложения Claude последуют на следующей неделе, а Enterprise и API пока остаются opt-in, пока администраторы не получат уведомление.