AIREITERAnthropic 在 10 月 22 日宣布，Pro、Max 和 Team 方案的大多數 Claude 應用程式，將從下週開始把 auto mode 設為新工作階段的預設模式。Enterprise 管理員會先收到電子郵件通知；API 與各雲端平台目前仍維持選擇加入。
10 月 22 日改了什麼？哪些設定維持不變？
這次 10 月 22 日的更新，是把 Claude Code 的變更擴大到大多數 Claude 應用程式。自 2026 年 8 月 14 日起，Pro、Max 和 Team 方案的 Claude Code 新工作階段已會以 auto mode 啟動；如果使用者原本釘選了其他預設模式，則會看到一次性的切換提示。同一篇 Anthropic 公告在 10 月 22 日補充指出，auto mode 將於下週成為上述方案大多數 Claude 應用程式新工作階段的預設模式，而 Enterprise 管理員會在組織設定變更前先收到電子郵件通知。
有三個界線沒有改變。Team 管理員若已在受管理設定中釘選預設模式，使用者不會受到影響。Enterprise、Claude API、AWS 上的 Claude Platform、Amazon Bedrock、Google Cloud's Agent Platform，以及 Microsoft Foundry 仍採選擇加入，Anthropic 計畫在接下來一個月內把 auto mode 也設為這些平台的預設模式。使用者自行釘選的個人預設值也會保留，除非接受那個一次性的切換提示。
使用者實際看到的內容，也取決於版本門檻。根據 版本更新追蹤，Claude Code v2.1.283 及更新版本，在沒有設定權限模式時，會把 auto 列為互動式終端機與 VS Code 工作階段的內建起始模式。不過，如果功能旗標尚未下發，全新安裝在第一次啟動時仍可能從手動模式開始。
Claude auto mode 如何做決策
根據 Anthropic 公告，Claude auto mode 會把每次工具呼叫交給獨立分類器判斷，而不是每一步都要求使用者核准。分類器會放行例行操作，擋下被判定為不可逆、具破壞性，或試圖越出工作環境的操作；接著 Claude 會尋找更安全的做法，或直接向使用者詢問。如果工作階段連續被擋三次，或整個工作階段累計被擋二十次，就會退回手動核准。
在 Claude auto mode 中，明確的權限規則仍會先於分類器生效。permissions.deny 中的項目會直接拒絕，分類器無法推翻結果；permissions.ask 中的項目則一定會跳出提示。像 Bash(python:*) 這類允許任意執行程式碼的廣泛 allow 規則，在 auto mode 啟用時會被暫時擱置，避免指令完全繞過分類器。
分類器掌握的資訊比靜態 allowlist 更多。Anthropic 表示，執行 git push 或建立 pull request 前，分類器會檢查目的地是私人、可信任還是公開位置；遇到 git reset --hard 等破壞性指令時，也會查看目前的 git 狀態。
來自網頁、檔案內容或工具輸出的外部內容，會先經過 prompt injection 探測。如果看起來像注入攻擊，Claude 的上下文中會加入警告。資料外洩屬於硬拒絕類別，不會由 auto mode 自動核准；若要執行這類操作，必須切換模式或直接執行指令。
Anthropic 為什麼認為 auto mode 勝過一直按 Approve
Anthropic 將這次變更定位為以數據驗證過的操作體驗改善。Claude Code 的權限提示有 97% 會被使用者核准，但呈現出的計畫有 39% 會遭拒絕。Anthropic 認為，這個落差顯示使用者面對單一提示時容易反射式點擊，而不是完整檢查內容。截至 2026 年 6 月，49.5% 的活躍 CLI 使用者曾手寫 Bash allow 規則，62% 曾使用 bypassPermissions 或「不要再問」，另有 25% 的互動式工作階段一開始就採用 bypass 模式。
受控研究進一步把這種行為量化。Anthropic 透過研究供應商招募了 1,053 名付費測試者，將每個工作階段的一個權限提示替換成明確危險的指令，再記錄測試者的反應；危險文字本身不會真的執行任何操作。人類只在 13.6% 的情況下發現問題，也就是 1,053 人中有 143 人；auto mode 則擋下同一批指令的 89%，即 1,053 次中的 937 次。
直接比較時，auto mode 擋下了人類曾核准的 800 個指令；反過來，人類只擋下 6 個 auto mode 放行的指令。而且人類的辨識率會從初期約 17%，在先前已經看過 50 次以上提示後降至約 5%；auto mode 的表現則維持平穩。
根據 Anthropic 公告，實際生產環境與第三方數據也指向相同結論。2026 年 5 月至 6 月的遭標記工作階段中，手動核准的工作階段有 6.3% 含有使用者未明確要求、但已達生產環境層級的危害；auto mode 工作階段則為 2.4%。Trajectory Labs 將 72 個 prompt injection 情境各測試十次：Claude Fable 5、Opus 5 或 Sonnet 5 在 auto mode 下的 720 次嘗試全部未成功；Codex Auto-review mode 中的 GPT-5.6 Sol，成功率則為 5.83%。
Apollo Research 的紅隊測試顯示，在加入儲存庫可見性、git 狀態和資料處理規則後，分類器漏判率從 12% 降至 7%。Anthropic 也提到三次內部攔截案例：離網上傳改道至公開貼文網站、一次可能影響 GPU 訓練工作的操作大規模終止約 2,000 個 pod，以及過度寬鬆的 billing-role 權限提升。此外，包括 Adobe、Nuro、Gusto 和 Garner Health 在內的 Teams 與 Enterprise 採用者，pull request 數量約增加 25%。
切換後，使用者實際會遇到什麼
公告沒有特別著墨的摩擦，在真實使用者討論中反而很常見。最常被抱怨的是日常操作：commit、清理 worktree、SSH 與伺服器工作，以及部署指令在 auto mode 中被擋下或反覆要求核准。
「auto classifier 連最基本的操作都會要求權限，而且就算明確授權了，還是拒絕執行。」—— u/dfritter4，來自 r/ClaudeCode
最令人挫折的是，使用者按下核准也不一定能推翻拒絕結果。多位使用者表示，即使批准了操作，執行環境仍會拒絕，最後只能切回手動模式或改用終端機。
「我遇過幾次不得不切回手動模式，叫 agent 繼續、手動核准，然後再切回 auto。」—— u/phoenixmatrix，來自 r/ClaudeCode
分類器服務中斷，和基於安全理由的拒絕是兩種不同問題。在一次跨多個專案的事故中，使用者在不同專案都看到「The server-side auto mode classifier gave no verdict」，但狀態頁面沒有顯示事故；最後只能暫時切回手動模式，等服務恢復。
品質疑慮則構成另一類問題，並在預設模式推出討論中被提出。有些使用者在意的不是破壞性指令，而是 Claude 自主執行時過度設計、偏離範圍或架構品質不佳。反覆遇到這些摩擦後，少數人會改用 --dangerously-skip-permissions，只依賴 git、容器，以及合併前審查來控管風險。
不離開 Claude auto mode，也能保留檢查點
最容易讓開發者意外的預設行為，是 Claude auto mode 允許 push 和建立 pull request，包括推送到目前工作的分支及預設分支。Force push、commit 中出現 secrets，以及改寫歷史仍會被軟性阻擋，需要明確表達意圖。「清理儲存庫」不代表授權 force push，但明確說出該操作就可以。名稱代表部署目標的分支，例如 production、release 或 gh-pages，則會被個別視為生產環境部署。
如果想讓所有操作維持 auto mode，只在 push 和 PR 上停下來檢查，可以加入會在分類器之前執行的內容範圍 ask 規則：
{ "permissions": { "ask": ["Bash(git push *)", "Bash(gh pr create *)"] } }對於絕對不能越過的界線，應使用 permissions.deny，不要只靠聊天指示。「在我審查前不要 push」這類口頭要求，可能在上下文壓縮後消失，但 ask 或 deny 規則會持續生效。如果某個已知目的地反覆被拒絕，通常代表分類器還不認得該基礎設施；在使用者或受管理設定的 autoMode.environment 中明確列出它，通常會有幫助。
你可以在 /permissions 的 Recently denied 分頁查看拒絕項目，按 r 重試其中一項；也可以用 claude auto-mode config、claude auto-mode defaults 和 claude auto-mode critique 檢查設定。這裡有兩個容易踩到的細節：像 Bash(npm test) 這種狹窄的 allow 規則會在分類器前解析，可能讓破壞性參數在未被察覺的情況下通過；在 v2.1.193 或更新版本中，將 autoMode.classifyAllShell 設為 true，就能讓每個 shell 指令都經過分類，但會增加一些延遲。另一點是，自訂的 allow、soft_deny、hard_deny 或 environment 清單會完全取代內建清單，除非其中保留字面值 "$defaults"。
需要時就把它關掉
在 Claude auto mode 中切換單一工作階段的模式，只需要一個操作。在 CLI 按 Shift+Tab 循環切換模式，或在桌面應用程式中使用模式下拉選單；也可以用 claude --permission-mode manual 啟動工作階段。這項變更只會套用到目前的工作階段。
如果要永久釘選手動模式，請在使用者設定的 ~/.claude/settings.json 儲存預設值：
{ "permissions": { "defaultMode": "manual" } }在 v2.1.200 及更新版本中，manual 是 default 的別名。儲存庫層級的 .claude/settings.json 無法授予或釘選 auto mode：其中設定的 defaultMode: auto 和 bypassPermissions 都會被忽略，因此是否選擇加入或退出，必須放在使用者或受管理設定中。組織管理員可以在受管理設定中用 defaultMode 釘選組織預設值，也可以將 permissions.disableAutoMode 設為 "disable"，完全移除 auto mode；自 v2.1.251 起，即使工作階段已經啟動，這項設定也會生效。當 useAutoModeDuringPlan 開啟時，auto-mode 分類器也會在 plan mode 中檢查 shell 指令；只要 auto mode 可用，這通常就是預設值。
該繼續使用，還是固定手動模式？
選擇模式時，應該看操作的影響範圍，而不是一時的興致。個人摸索、可隔離的本機重構、依賴套件更新、產生測試，以及以 diff 和測試套件作為關卡的文件清理，都是 auto mode 的適用場景。共享團隊儲存庫則要先具備幾個條件：設定受保護路徑、針對 secrets 和部署 manifest 加上 hard deny，並在推出前先約定使用 sandbox 或一次性分支。
| 工作流程 | 建議模式 | 應先設定的防護措施 |
|---|---|---|
| 個人探索、可逆變更 | Auto mode | 查看 Recently denied，養成按 r 重試的習慣 |
| 團隊儲存庫、例行功能開發 | 搭配 push 檢查點的 Auto mode | 對 git push * 和 gh pr create * 設定 ask |
| 生產環境部署、IAM、secrets、事故處理 | Manual 或 plan mode，加上人工 diff 審查 | 對不可越過的界線設定 deny 規則 |
| 受監管或符合 HIPAA 資格的工作階段 | Manual（仍可切換至 auto） | 受管理的 defaultMode，並稽核誰有權變更 |
讓 CLI 與編輯器整合工具使用同一條版本更新線，設定一個受管理的預設值，定義受保護路徑和 hard deny；第一次執行時，先使用 devcontainer 或隔離 VM 搭配假資料，並把 git diff、測試執行結果和實際審查保留為合併前關卡。根據 Anthropic 的資料，自 5 月中旬以來，約 10% 的工作階段包含分類器拒絕。
常見問題
Claude auto mode 會額外消耗 token 嗎？
根據 Anthropic 的說法，自 2026 年 8 月 7 日起，Pro、Max 和 Team 方案不會額外收費。Enterprise、API 與雲端平台工作階段的用量，仍會把用戶端分類器呼叫計入 token 使用量。
auto mode 擋下合法工作時，我該怎麼辦？
開啟 /permissions，查看 Recently denied 分頁，按 r 重試該拒絕項目。如果同一個目的地持續被拒絕，可以在 autoMode.environment 中列出可信任的基礎設施。
為什麼 push 到 main 沒有跳出提示就成功了？
在 auto mode 中，推送到工作儲存庫的任何分支，包括預設分支，預設都會被允許。將 Bash(git push *) 加入 permissions.ask，即可強制設置檢查點；若要建立硬性界線，則加入 permissions.deny。
auto mode 適合生產環境工作嗎？
Anthropic 認為 auto mode 比習慣性點擊核准更安全，但對高風險的生產環境基礎設施變更，仍建議保留人工審查。可逆工作可以維持 auto mode；部署、secrets 和 IAM 則應使用 manual 或 plan mode。
怎麼分辨安全性拒絕和分類器服務中斷？
安全性拒絕會指出阻擋原因，Claude 通常也會提出其他做法；「no verdict」類型的服務中斷，則會同時在多個專案擋下寫入和 Bash 操作。可以查看 /status 中的 auto-mode 伺服器項目；如果懷疑服務中斷，請先切換到手動模式。
Claude Code 和 Claude 應用程式中的 auto mode 運作方式一樣嗎？
兩者共用分類器機制，但推出時間不同：Claude Code 先在 8 月 14 日切換，Claude 應用程式將於下週跟進；Enterprise 和 API 介面則會在管理員收到通知前維持選擇加入。