你让一位助手整理书房，如果他每拿起一本书都问“可以吗”，你很快就会闭着眼说可以。编程 Agent 也有这个问题。Claude Code——Anthropic 能读取和修改项目文件、运行命令的命令行编程助手——原本会频繁弹出权限请求，但人一旦习惯点“批准”，确认就不再等于检查。
Anthropic 将从 2026 年 8 月 14 日起，把 auto mode（自动模式）设为 Pro、Max 和 Team 计划新会话的默认模式。它不只是少弹几个窗口，而是把编程 Agent 的基本工作方式从“逐步请示”改成“原则上放手”。值得关注的也因此不只是效率：当 AI 可以直接改变工作环境，哪些事能自行决定、出了错由什么机制兜底，就成了产品设计的核心。
默认放手，到底放到什么程度？
据 TechCrunch 报道，Anthropic 在今年 3 月首次推出 auto mode 测试版。进入这一模式后，Claude Code 通常不会为每一步请求人工批准。只有当系统判定某项操作“不可逆、具破坏性，或目标位于你的环境之外”时，它才会停下来询问。
这套设计是在交换两样东西：它用更大的自动执行范围，换取更少的工作中断。过去，权限弹窗把判断责任交给用户；现在，产品要先替用户判断什么值得拦截。也就是说，安全机制从一道反复出现的门铃，变成了系统内部的门禁。
Anthropic 给出的理由很直接。据 TechCrunch 转述，Claude Code 用户会批准 97% 的权限提示。频繁确认容易形成“确认疲劳”：按钮仍在那里，人却不再认真判断。此时继续增加弹窗，未必能增加安全性。
89% 对 13.6%，说明了什么？
Anthropic 在一项厂商测试中招募了 1,053 名付费测试者。测试进行到一半时，系统把一次权限请求替换成明显危险的命令，观察用户是否拒绝。结果只有 13.6% 的测试者拒绝了有害操作；按同一测试口径，auto mode 会拦截其中 89%。
这组数字支持一个有限但重要的判断：面对持续出现的权限提示，人工确认可能只是形式；自动风险判断至少在这个特定场景中拦得更多。但它不能直接证明 auto mode 在真实开发环境里整体比人更安全。测试只替换了一个明显危险的命令，而且 89% 也意味着仍有 11% 没被阻止。这些结果来自 Anthropic 自己的测试，并非第三方独立验证。
真正的风险不只是“删错文件”
自动执行常态化以后，第一道边界是最小权限原则：只给软件完成任务必需的文件、命令和网络权限。这样即使 Agent 判断错误，损害范围也能被限制。默认模式解决的是“是否频繁问人”，并没有消除“它究竟能碰什么”的问题。
另一类风险是 prompt injection（提示注入）：恶意指令被藏在网页、文档或代码里，诱导 Agent 做出并非用户本意的动作。普通聊天机器人中招，可能只是答错；能操作终端的编程 Agent 中招，错误就可能变成文件修改、命令执行或数据外泄。
据 TechCrunch 报道，Anthropic 已为 Claude Code 增加提示注入筛查和可定制的 hard deny rules——无论模型如何判断都不能越过的硬性禁止规则——以防范数据外泄等风险。Simon Willison 的报道还称，Anthropic 内部几乎所有人都在使用 auto mode。这个采用情况能说明团队对产品有信心，却不能代替外部安全证据。
默认值改变了责任分配
auto mode 在测试阶段是一项主动选择；成为新会话默认项后，它会影响大量没有专门调整设置的用户。这个变化意味着，低监督运行不再只是熟练用户追求效率的选项，而被 Anthropic 视为常规工作方式。
因此，竞争焦点也在移动。编程 Agent 不只要“会写代码”，还要在行动前识别风险，把高危操作准确挡住，并让用户能划定清楚的权限边界。默认自动化是否成立，最终取决于这些护栏，而不是少了多少次点击。
局限与未知
- 材料没有披露完整评测方法、攻击类别、误拦截率或独立复现结果，无法判断安全机制在更复杂场景中的稳定性。
- Anthropic 所称已“几乎缓解所有攻击”、风险远低于平均人工审查，带有明显的厂商宣传色彩，现有材料不足以验证。
- 变更要到 8 月 14 日才开始，且范围是 Pro、Max 和 Team 计划的新会话，不能写成目前已经对所有用户全面生效。