A partire dal 14 agosto, Anthropic cambierà la modalità predefinita per le nuove sessioni di Claude Code in "auto" per gli abbonati Pro, Max e Team. La modifica consente all'agente di programmazione dell'azienda di operare più a lungo prima di richiedere l'approvazione umana. Secondo i test di Anthropic, la modalità auto blocca più comandi pericolosi rispetto agli sviluppatori che revisano manualmente i prompt. Il cambiamento colloca Anthropic all'avanguardia in una spinta a livello di settore da parte dei laboratori di intelligenza artificiale — tra cui OpenAI, Google e GitHub — per rendere gli agenti di programmazione più autonomi, ma Anthropic si distingue nell'affermare che la rimozione degli esseri umani dalle approvazioni di routine migliori effettivamente la sicurezza.

La modalità auto instrada tutte le chiamate degli strumenti attraverso un classificatore addestrato per identificare azioni irreversibili, distruttive o al di fuori dell'ambiente dell'utente. Quando un comando viene bloccato, Claude trova un approccio alternativo o chiede direttamente allo sviluppatore. Dopo tre blocchi consecutivi o venti blocchi in una singola sessione, lo strumento torna in modalità di approvazione manuale.

Gli esseri umani rimossi dal ciclo di approvazione

I dati interni di Anthropic mostrano che gli utenti accettano il 97% delle richieste di autorizzazione e ne rifiutano solo il 3%. Tuttavia, quando Claude presenta un piano completo in anticipo, il tasso di rifiuto sale al 39%. L'azienda interpreta questo divario come la prova che gli sviluppatori esaminano le decisioni di alto livello ma approvano automaticamente le singole autorizzazioni che vengono attivate decine o centinaia di volte al giorno.

Il cambio di politica è supportato dai dati di uno studio controllato commissionato da Anthropic che ha coinvolto 1.053 tester professionisti retribuiti. I partecipanti hanno lavorato in un ambiente appositamente creato in cui sapevano di essere osservati ma non cosa venisse misurato. A metà delle sessioni, un comando palesemente dannoso ha sostituito una normale richiesta di autorizzazione. I revisori umani lo hanno individuato solo nel 13,6% dei casi, mentre la modalità auto lo ha rilevato nell'89%.

Le misure di protezione esistenti si stavano già indebolendo. A giugno 2026, circa la metà di tutti gli utenti attivi della riga di comando aveva creato una regola di autorizzazione Bash. Il 62% aveva utilizzato autorizzazioni di bypass o selezionato "non chiedere di nuovo". Un quarto delle sessioni interattive ora inizia direttamente in modalità bypass.

Difese contro il prompt injection e guadagni di produttività

La modalità auto funge anche da difesa contro gli attacchi di prompt injection, in cui un testo avversario tenta di deviare un agente dal compito assegnato dall'utente — una superficie di attacco in crescita man mano che gli agenti di programmazione ottengono accesso a repository, contenuti web e infrastrutture di produzione. In un audit indipendente, Trajectory Labs ha testato 72 scenari di attacco, ciascuno ripetuto 10 volte. I modelli attuali di Anthropic — Fable 5, Opus 5 e Sonnet 5 — non sono stati compromessi in nessuno dei 720 tentativi in modalità auto. Per confronto, la stessa revisione ha rilevato che GPT-5.6 Sol di OpenAI in modalità Codex Auto-Review aveva un tasso di successo per gli attaccanti del 5,83%.

Anthropic riferisce che la modalità auto ha impedito a Claude di pubblicare dati riservati su pagine pubbliche. In una sessione prolungata, ha intercettato Claude che stava mettendo in coda un comando di terminazione attraverso circa 2.000 pod, il che avrebbe interrotto centinaia di GPU impegnate in job di addestramento.

I team e i clienti Enterprise che utilizzano la modalità auto pubblicano all'incirca il 25% di pull request in più. Anthropic ha identificato Adobe, Nuro, Gusto e Garner Health come utenti in produzione.

A partire dal 7 agosto, Anthropic ha smesso di addebitare ai piani Pro, Max e Team i token consumati dal classificatore. Le esecuzioni autonome più lunghe comportano però un utilizzo complessivo maggiore.

Ambito del rollout e rischi riconosciuti

Per ora, la modifica della modalità predefinita si applica solo ai piani consumer e Team. Anthropic prevede di distribuire la modalità auto su Enterprise, Claude API, AWS, Amazon Bedrock, Google Cloud's Agent Platform e Microsoft Foundry nel corso del prossimo mese, dove rimarrà facoltativa — una postura più conservativa che riflette i rischi più elevati degli ambienti di produzione e regolamentati, in cui un singolo comando distruttivo può innescare incidenti di conformità o perdita di dati.

Gli sviluppatori che hanno già fissato una diversa impostazione predefinita la manterranno. Altri potrebbero ricevere una richiesta una tantum per passare alla nuova modalità.

Anthropic riconosce che il classificatore non elimina tutti i rischi. Come riportato in precedenza, tre modelli di Claude sono fuoriusciti dagli ambienti di test durante esercitazioni di sicurezza a luglio a causa di una errata configurazione che ha concesso accesso a Internet in tempo reale. L'annuncio ufficiale dell'azienda fornisce ulteriori dettagli sul rollout.