8月11日、Tom Smithが「Anthropic Makes Claude Code's Auto Mode the Default, Betting Automation Beats Manual Review」と題した記事を公開した。AnthropicがClaude Codeのオートモードを8月14日からデフォルト設定に変更し、人間による手動承認よりも自動分類器の方が安全性が高いというデータを公開したことについて詳しく紹介している。

「97%承認」が示す現実：人間のレビューはすでに機能していなかった

Anthropicが今回の変更を決断した根拠として挙げているのが、ユーザーがパーミッションリクエストの97%を承認していたという使用データだ。これは慎重に確認した結果ではなく、「読まずにOKを押していた」証拠に他ならない。

この実態を裏付けるために、Anthropicは1,053人の有料ユーザーを対象にした対照実験を実施した。コーディングセッションの途中で、通常のパーミッション要求に偽装した「本物の危険なコマンド」を混入させ、人間とオートモードのどちらが検出できるかを測定した。

結果は明確だった。

• 人間による検出率：13.6%
• オートモードによる検出率：89%

さらに、セッションが長くなるほど差は広がる。プロンプトが50回以上続いた後の人間の検出率は**約5%**まで低下する一方、オートモードの検出精度はセッション長に関係なく安定して維持された。

The Futurum GroupのVP、Mitch Ashley氏はこの数字をこう評した。

「13.6%という検出率は、アクションごとの承認が実際には機能しなくなっていたことを示している。チームはクリック数を数えていたが、そのクリックが何かを実際に検知していたかは誰も測定していなかった。」

加えてAnthropicは、5〜6月の本番データも公開している。手動承認を使ったセッションでは、**本番環境への深刻な意図しない影響（例：稼働中DBの行の誤削除）が6.3%のセッションで発生していたのに対し、オートモードでは2.4%**にとどまった。

オートモードは「何でも許可」ではない

オートモードは承認を省略するのではなく、各ツール呼び出しを自動分類器でルーティングする仕組みだ。「不可逆」「破壊的」「ユーザー環境の外を対象とする」操作と判定された場合のみ割り込みが発生し、それ以外は停止なしに実行される。

分類器には具体的なガードレールも組み込まれている。

• データ流出はカテゴリとして常時ブロック（無条件拒否）
• git reset --hard などの破壊的コマンド前にはgitの状態を確認
• リポジトリをpushする前にパブリック/プライベートを区別
• 外部ソースから取得したコンテンツへのプロンプトインジェクション検査
• 分類器が連続3回、またはセッション通算20回ブロックした場合は手動承認モードに自動切り替え

敵対的テストも実施されており、AIセーフティ企業のApollo Researchと連携したテストでは、修正サイクルを経て攻撃の見逃し率を**12%から7%に低下させた。また、Trajectory Labsによる独立評価では、72種類のプロンプトインジェクションシナリオ・計720回の攻撃試行に対してClaude Codeのオートモードは成功率0%を達成。比較対象となったOpenAI Codexの同等モードは5.83%**の攻撃成功を許している。

生産性への影響と展開状況

安全性だけでなく、生産性にも変化が現れている。Anthropicによれば、オートモードを使うチームは手動レビューのチームより約25%多くのプルリクエストをマージしている。

自律走行技術を手がけるNuroの事例では、夜間にエージェントを起動し、翌朝までに3件の完成したPRが届いていたという。同社はコードレビューを含む夜間の非同期フローを前提にオートモードを採用しており、手動割り込みが発生すると朝まで作業が止まるという運用上の課題を解消するためにデフォルト化を選んだ。Adobe、Gusto、Garner Healthも同様にオートモードを本番デフォルトとして採用しており、Garner Healthは管理コストを集約するためにマネージド設定を選択し、全550人の従業員へ一括展開済みだ。

8月14日からPro・Max・Teamプランがデフォルト切り替えの対象となる。Claude Enterprise、Claude API、AWS・Google Cloud・Microsoft Foundryの各クラウドプラットフォームは当面オプトインのまま維持され、管理者が評価する時間を設けた上で、1ヶ月以内にデフォルト化を予定している。なお、分類器のオーバーヘッドに伴うトークン追加料金は、Pro・Max・Teamユーザーに対してすでに撤廃された。

「ループの中の人間」から「ループを設計する人間」へ

この変更が問うているのは、AIエージェント時代のヒューマンオーバーサイト（人間による監視・監督）のあり方だ。

Mitch Ashley氏はこう指摘する。

「『ループの中の人間』はスケールしない。これからは『ループを設計する人間』、つまりセッション開始前にエージェントが触れる範囲を定義する人間が必要になる。チームは監査担当者に対して、何が無人で実行されたか、その根拠を記録として示す責任を引き続き負う。」

Claude CodeのヘッドであるBoris Cherny氏はX（旧Twitter）への投稿で、自身と開発チームが数ヶ月にわたってオートモードのみを使用しており、パーミッションプロンプトに戻りたいとは思わないと率直に述べている。

詳細はAnthropic Makes Claude Code's Auto Mode the Default, Betting Automation Beats Manual Reviewを参照していただきたい。