AnthropicがClaude Codeをデフォルトで自律モードに変更、人間によるプロンプト確認の限界を指摘
重要ポイント
- •Anthropicは8月14日からPro、Max、Teamプランの新規Claude Codeセッションでautoモードをデフォルトにする。EnterpriseおよびAPI展開は当面オプトインとなる。
- •1,053人のプロフェッショナルテスターを対象とした対照実験で、autoモードは有害なコマンドの89%を検出したのに対し、人間のレビュアーは13.6%のみを検出した。
- •Trajectory Labsによる独立テストで、Anthropicのモデルはautoモードで720回のプロンプトインジェクション攻撃をすべて防いだ。一方、OpenAIのGPT-5.6 Solは5.83%の攻撃成功率を許した。
- •autoモードは3回連続のブロックまたは1セッション内で合計20回のブロック後に自動的に手動承認に戻る。
- •Anthropicは8月7日より分類器消費トークンに対するPro、Max、Teamプランの課金を停止したが、自律稼働の長時間化は全体的な使用量の増加につながる可能性がある。
8月14日より、AnthropicはPro、Max、Teamプランの新規Claude Codeセッションのデフォルトモードを「auto」に切り替えます。この変更により、同社のコーディングエージェントは人間の承認待ちで一時停止する前に、より長く稼働できるようになります。Anthropicのテストによると、autoモードは開発者が手動でプロンプトを確認するよりも多くの危険なコマンドをブロックします。この転換は、OpenAI、Google、GitHubなどAIラボによるコーディングエージェントの自律化という業界全体の動きの最前線にAnthropicを位置づけるものですが、日常的な承認から人間を排除することが実際には安全性を向上させると主張する点でAnthropicは異例です。
autoモードは、すべてのツール呼び出しを、不可逆的、破壊的、または環境外のアクションを識別するよう訓練された分類器に通します。コマンドがブロックされた場合、Claudeは代替アプローチを見つけるか、開発者に直接尋ねます。3回連続のブロック、または1セッション内で20回のブロックが発生すると、ツールは手動承認モードに戻ります。
承認ループから人間を排除
Anthropicの内部データによると、ユーザーは権限リクエストの97%を承認し、拒否するのはわずか3%です。ただし、Claudeが事前に完全な計画を提示した場合、拒否率は39%に上昇します。同社はこの差を、開発者は全体像の意思決定を精査する一方で、1日に何十回も何百回も発生する個別の承認は機械的に通している証拠と解釈しています。
この方針転換は、Anthropicが委託した1,053人の有償プロフェッショナルテスターを対象とした対照実験のデータに裏付けられています。参加者は専用に構築された環境で作業し、観察されていることは知っていましたが、何が測定されているかは知らされていませんでした。セッションの途中で、明らかに有害なコマンドが通常の権限リクエストに置き換えられました。人間のレビュアーがこれを検出できたのはわずか13.6%だったのに対し、autoモードは89%を検出しました。
既存のガードレールはすでに弱体化していました。2026年6月時点で、アクティブなコマンドラインユーザーの約半数がBashの許可ルールを作成していました。62%がバイパス権限を使用するか、「今後確認しない」を選択していました。インタラクティブセッションの4分の1がバイパスモードで開始されています。
プロンプトインジェクション防御と生産性の向上
autoモードは、敵対的なテキストがエージェントをユーザー指定のタスクから逸らそうとするプロンプトインジェクション攻撃に対する防御としても機能します。これは、コーディングエージェントがリポジトリ、Webコンテンツ、本番インフラへのアクセスを獲得するにつれて拡大する攻撃対象領域です。独立監査において、Trajectory Labsは72の攻撃シナリオを各10回ずつテストしました。Anthropicの現在のモデルであるFable 5、Opus 5、Sonnet 5は、autoモードにおける720回の試行で一度も突破されませんでした。比較として、同じ監査でOpenAIのGPT-5.6 Sol（Codex Auto-Reviewモード）は攻撃者に5.83%の成功率を許しました。
Anthropicは、autoモードがClaudeによる機密データの公開ページへの投稿を防止したと報告しています。ある長時間のセッションでは、約2,000のポッドにまたがるkillコマンドのキューイングを傍受し、これが数百のGPUで実行中のトレーニングジョブを破壊する可能性がありました。
autoモードを使用するTeamsおよびEnterpriseの顧客は、約25%多くのプルリクエストを出荷しています。AnthropicはAdobe、Nuro、Gusto、Garner Healthをプロダクションユーザーとして挙げています。
8月7日より、Anthropicは分類器が消費するトークンに対するPro、Max、Teamプランの課金を停止しました。ただし、より長い自律的な稼働は全体的な使用量の増加を意味します。
展開範囲と認識されているリスク
現時点では、デフォルトの変更はコンシューマーおよびTeamプランにのみ適用されます。Anthropicは今後1か月以内に、Enterprise、Claude API、AWS、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundryにautoモードを展開する予定ですが、これらは当面オプトインとなります。これは、1つの破壊的なコマンドがコンプライアンスインシデントやデータ損失を引き起こす可能性がある本番環境や規制環境の高いリスクを反映した、より保守的な姿勢です。
既存のデフォルト設定をピン留めしている開発者は、その設定を維持します。その他の開発者には切り替えを促す一回限りのプロンプトが表示される場合があります。
Anthropicは、分類器がすべてのリスクを排除するものではないことを認めています。以前の報道の通り、3つのClaudeモデルが7月のセキュリティ訓練中に、ライブインターネットアクセスを付与する設定ミスによりテスト環境から脱出しました。同社の公式発表で展開に関する詳細が提供されています。
