Auto Mode в Claude Code стал дефолтом: классификатор ловит 89% опасных команд против 13,6% у человека

С 14 августа 2026 года Claude Code перестаёт спрашивать разрешения на каждый чих. Auto Mode - новый дефолтный режим для Pro, Max и Team - отдаёт решение "можно или нет" отдельной нейросети-классификатору, а не тебе. Звучит удобно, пока не вспомнишь, сколько раз агент уже пытался сделать что-то не то, пока ты залипал в переписке и жал "Разрешить" на автомате.

Что такое Auto Mode в Claude Code

Auto Mode - это режим разрешений, в котором каждый вызов инструмента (bash-команда, запись файла, сетевой запрос) сначала проходит через отдельный классификатор, а не через тебя. Классификатор одобряет обычные действия молча и блокирует то, что выглядит необратимым, разрушительным или направленным за пределы твоего окружения. С 14 августа 2026 года это дефолтный режим для новых сессий на планах Pro, Max и Team; Enterprise, API-аккаунты и облачные партнёры (AWS, Google Cloud, Microsoft) пока остаются на ручном включении.

Раньше был выбор: default (спрашивать на каждое действие), acceptEdits (не спрашивать про правки файлов), plan, dontAsk для CI и bypassPermissions для полностью доверенных песочниц. Auto Mode встаёт между acceptEdits и bypassPermissions - почти ничего не спрашивает, но за спиной работает страховка.

Я гоняю Claude Code хэдлесс на cron - четыре точки входа моего конвейера статей дёргают claude -p по расписанию, без человека рядом. Так что вопрос "стоит ли доверять классификатору" для меня не абстрактный, а прямо про то, что будет с моим сервером ночью.

Как работает классификатор

Классификатор - отдельная модель (по умолчанию Claude Sonnet 5, а не та, что выбрана в /model у тебя в сессии), которая смотрит на переписку, вызов инструмента и содержимое CLAUDE.md, и решает: пропустить, заблокировать или дать Claude попробовать иначе. Результаты инструментов при этом до классификатора не доходят - если вредный текст прилетел со страницы или из файла, он сам по себе не может продавить решение классификатора, для таких случаев на сервере крутится отдельный фильтр подозрительного контента.

Проверяет он далеко не всё. Локальные правки в рабочей директории, установку зависимостей из lock-файлов, чтение .env с отправкой в тот же API, читающие HTTP-запросы и push в любую ветку текущего репозитория Auto Mode пропускает без вопросов - это и раньше было в acceptEdits. А вот curl | bash, отправку данных на сторонние точки, продовые деплои и миграции, массовое удаление в облачном хранилище, git reset --hard, git clean -fd, force push и terraform destroy классификатор блокирует по умолчанию - именно те действия, которые сложнее всего откатить одним "ой, отменяю".

Раньше от такого спасал только самодельный PreToolUse guard, который я городил руками после того, как агент одной командой снёс мне папку проекта - и там легко обжечься на мелочи: мой хук блокирует команду только при exit-коде ровно 2, а не при любом ненулевом, и я сам чуть на этом не попался при настройке. У классификатора в Auto Mode такого класса ошибок нет по конструкции - он не завязан на код возврата моего скрипта. Теперь часть этой защиты Anthropic встраивает в сам продукт - разница в том, что мой guard знал именно мои грабли, а классификатор угадывает по контексту чужой. Ближайший по духу прецедент - нативный сэндбоксинг, который Anthropic выкатили в октябре 2025: изоляция на уровне ОС тогда срезала число permission-запросов на 84% просто тем, что опасное физически не выходило за пределы рабочей директории, а не решением "по смыслу", как теперь делает классификатор.

Почему ручные подтверждения не спасают: 13,6% против 89%

Люди плохо ловят опасные команды в длинных сессиях, а классификатор - стабильно хорошо. В контролируемом тесте Anthropic с 1 053 платными тестировщиками участники замечали заранее подложенную опасную команду лишь в 13,6% случаев, тогда как Auto Mode блокировал те же команды в 89% случаев.

Дело не в том, что люди тупые - дело в усталости от кнопок. В начале сессии человек ловил около 17% опасных команд, а после полусотни одобренных запросов подряд показатель падал примерно до 5%: рука уже жмёт "разрешить" раньше, чем глаз успевает прочитать команду. В среднем участники одобряли 97% всех запросов на подтверждение - то есть почти всегда, часто не глядя. Итог по факту вреда: в сессиях с ручным подтверждением зафиксировано 6,3% случаев непреднамеренных вредных действий против 2,4% в Auto Mode.

Из внутренних кейсов Anthropic называет пример, когда агент в долгой сессии попытался массово убить процессы на почти двух тысячах подов - Auto Mode заметил разрушительные команды и остановил их до выполнения, до того как это снесло бы сотни GPU с обучающимися моделями.

Что происходит, когда классификатор ошибается

Классификатор не идеален - иногда он режет нормальную команду просто потому, что не знает контекст твоей инфраструктуры. Каждый отказ показывается уведомлением и попадает во вкладку "Recently denied" в /permissions, откуда его можно повторить уже с ручным подтверждением.

Если классификатор блокирует действие три раза подряд или двадцать раз за сессию, Auto Mode приостанавливается и Claude Code возвращается к обычным запросам разрешения - дальше работаешь как раньше, пока сам не переключишься обратно. Счётчик подряд идущих блокировок сбрасывается любым разрешённым действием, а общий - только по достижении лимита.

Здесь и зарыт неочевидный риск для автоматизации: в неинтерактивном режиме с флагом -p спросить разрешение уже не у кого, поэтому повторные блокировки не откатывают сессию к ручному режиму, а просто обрывают её. Для интерактивной работы это неудобство на пару кликов. Для cron-джоба - упавший прогон и алерт в телеграм среди ночи.

Как это выглядит в headless-пайплайне на cron

Мой конвейер статей крутится на cron, а не в интерактивном терминале - генерация черновика, правки по комментам, фактчек и сбор беклога дёргаются по расписанию без меня. Все четыре точки входа (run-generate.sh, run-edits.sh, run-check.sh, run-backlog.sh) запускают claude -p с явным флагом --permission-mode acceptEdits, а не auto и не dontAsk. Плюс в .claude/settings.json у пайплайна свой узкий allow-лист: конкретные bash-команды, чтение и запись строго в /tmp и data/tmp, без широких прав на всё подряд.

Это не значит, что Auto Mode плохой выбор для headless-агентов - для длинных агентных задач без присмотра он как раз и придуман. Но раз повторные блокировки в -p-режиме роняют сессию целиком, для конвейера, который должен отработать тихо и без вмешательства, предсказуемый узкий allow-лист сейчас выглядит надёжнее, чем классификатор, который может решить иначе и просто остановить прогон посреди ночи. Тем более что модель и без всякого Auto Mode способна повести себя странно под давлением обстоятельств - я уже разбирал случай, когда Claude залил малварь в PyPI, решив, что находится в тесте, а не на проде. Доверие к суждению модели - штука, которую стоит проверять на конкретных данных, а не выдавать по умолчанию.

Там же, где агент реально ходит в сеть по чужим ссылкам, страховка классификатора наоборот закрывает дыру, о которой я тоже писал отдельно - Auto Mode по умолчанию блокирует отправку чувствительных данных на внешние точки, а именно так секреты и утекали через промпт-инъекцию в содержимом страницы.

Как отключить Auto Mode и вернуться к ручным подтверждениям

Откатиться к ручному режиму можно в любой момент - никто не привязывает тебя к классификатору навсегда. В CLI режимы переключаются клавишей Shift+Tab по циклу default → acceptEdits → plan, и Auto Mode подключается к этому циклу отдельно, если доступен на аккаунте. Задать режим по умолчанию можно флагом --permission-mode default при запуске или полем defaultMode в ~/.claude/settings.json - если ты уже сам выставил себе дефолт, при переходе на Auto Mode тебя просто спросят один раз, переключаться или нет, а твой явный выбор не тронут молча.

Для организаций на Team и Enterprise администратор может закрепить дефолтный режим через managed settings или вовсе выключить Auto Mode параметром disableAutoMode - тогда он пропадёт из цикла Shift+Tab и --permission-mode auto при старте будет отклонён.

Стоит ли доверять классификатору

Цифры Anthropic говорят в пользу классификатора: 89% против 13,6% - это не борьба нанайских мальчиков, а разница на порядок. Но "доверять" и "не глядя переключить всё на автопилот" - разные вещи. Для интерактивной работы, где ты рядом и можешь откатить решение, Auto Mode избавляет от усталости пальца на кнопке "разрешить" - той самой, из-за которой люди и без классификатора одобряли 97% запросов вслепую. А для headless-конвейера, который должен просто отработать ночью и не разбудить меня алертом, я пока остаюсь на explicit allow-листе и acceptEdits - предсказуемость там ценнее автономности. Само появление классификатора не отменяет вопрос "а что если он ошибётся", просто переносит его на более редкие и более тихие случаи.