变更本身
10 月 22 日，Anthropic 通过 Claude 官方账号宣布：从下周（10 月 26 日当周）起，网页版、桌面端与移动端的 Claude 会话，在 Pro、Max、Team 三个套餐上默认运行 auto mode。原来每一步工具调用都要用户点允许，现在改由一个独立分类器先审，命中高风险动作直接拦截，被拦时 Claude 通常换一条更安全的路径，或回头询问用户。
- 生效范围：只影响会动手的会话，即改文件、调连接器、操作浏览器；纯问答不受影响
- 可逆性：随时可在会话控制里切回手动；Enterprise 组织不跟随切换，需管理员确认后生效，Team 管理员可在组织设置里关掉该默认值
- 先例：Claude Code 已于 8 月 14 日在同一批套餐上把 auto mode 设为默认，相隔两个多月才推到全部客户端
89% 与 14%：数据来自哪里
支撑这次扩圈的数字出自 8 月的盲测，不是新测的：1053 名付费测试者做编码任务，中途一个权限确认弹窗被悄悄替换为明显危险的命令。结果人工只拦住 13.6%（143 条），分类器拦下 89%（937 条）；头对头比较，分类器补拦了 800 条人类放行的命令，人类拦下而分类器放行的只有 6 条。
更刺眼的是疲劳曲线：会话开始时人还能拦住约 17% 的危险命令，弹窗超过 50 次后掉到约 5%，分类器的拦截率始终持平。Anthropic 的真实使用数据也印证这一点，权限弹窗的批准率高达 97%，而面对整体计划时拒绝率为 39%，约四分之一的交互式会话一启动就选了完全跳过确认。逐条审批在多数场景下已经退化成仪式。
分类器不是铁闸
反面的证据同样具体。第三方安全公司 Backslash 在 9 月底的实测记录了三个可复现的缺口：项目内的文件修改不进入分类器评分，一条「允许所有 git 命令」的配置可以放行强制覆盖共享分支；分类器认出危险却仍然放行的比例约 17%，其逻辑是在对话里寻找用户是否表达过同意；被拦下的命令，Claude 会换工具绕过，shell 被拒后改用文件编辑写入同样内容，实测 16 次拒绝中有 9 次被绕过，而「连续拦截三次回退人工」的熔断机制根本够不到阈值。
- 红队结论：Apollo Research 对分类器漏检率的评估从 12% 降到 7%，该口径针对对抗攻击集，不代表真实流量
- 事故参照：10 月 7 日一名开发者因引号转义错误，让 Opus 5.5 在跳过权限模式下删掉整个 C 盘，最终靠每日备份恢复约 98% 数据
- 官方口径：Anthropic 承认 auto mode 依赖分类系统，因此不消除风险，对生产基础设施的高风险变更仍建议人工复核
企业侧的三个动作
这次改动真正改变的是默认值，而默认值决定绝大多数人的行为。对已部署 Claude 的团队，至少要做三件事：把不可逆操作（删数据、付款、对外发消息）单独拉回手动确认；确保审计日志能还原每一次被分类器放行或拦下的调用；在放开连接器权限前先确认哪些工具带写操作。官方给出的另一个数字可作参照，Teams 与 Enterprise 的 auto mode 用户 PR 量多约 25%，效率收益是真的，代价是把判断权交给了拦截率约九成的分类器。