「はい」を押し続ける承認をやめる──Claude Codeが8月14日、既定を人の確認からAIの検問へ切り替える

Anthropic は Claude Code の「オートモード」を、2026年8月14日から Pro・Max・Team プランの新規セッションの既定にすると発表しました。これまでの既定は、ツール呼び出しのたびに人が「はい」を押して承認する手動モードでした。8月14日以降は、その一つひとつを分類器（classifier）が選り分け、危ないものだけを止める形に入れ替わります。既定が変わるだけで、モードそのものは以前から選べたものです。

7月には Bedrock・Vertex・Foundry といった企業向けクラウドで先にオートモードが既定化されました。今回はそれが個人・チーム向けの一般プランに降りてきた格好です。Enterprise・Claude API・クラウド各社経由の利用は当面オプトインのままで、Anthropic は「今後1か月をめどに」ここも既定へ移す意向を示しています（時期は確定していません）。

なぜ「毎回のクリック」を捨てるのか

切り替えの理屈は、承認クリックがもはや安全装置として働いていない、という観察にあります。Anthropic が挙げた利用実態は次のとおりです。

• 権限プロンプトの97%が反射的に承認され、拒否は3%どまり
• CLI 利用者の62%が bypassPermissions や「今後確認しない」で確認自体を無効化
• 2026年6月時点で49.5%が広い Bash 許可ルールを作成済み

つまり多くの現場では、確認画面は「押すだけの儀式」に化けていたわけです。これを Anthropic は「承認疲れ（approval fatigue）」と呼びます。

その差を測ったのが、独立ベンダーによる1,053人の有料テスターを対象にした比較試験です。セッションの途中で危険なコマンドを1つ、本人に知らせず紛れ込ませ、止められるかを見ました。結果は下表のとおりです。

人の検知率はセッション序盤の約17%から、承認50回を超えると約5%まで落ちました。分類器はセッションの長さに関わらず横ばいでした。実運用データでも、手動承認セッションは深刻な意図せぬ被害の発生が本番相当の重大度でオートモードの倍以上（6.3%対2.4%）だったとされています。

検問の中身と、それでも人に戻す場面

オートモードは各ツール呼び出しを分類器に通し、「取り消せない・破壊的・自分の環境の外に向かう」操作を狙って止めます。主な仕組みは次のとおりです。

• 絶対拒否（hard deny）: データ持ち出しや認証情報の窃取は決して承認しない
• 文脈の把握: リポジトリの公開範囲・git の状態・秘密情報の有無を見る
• 注入スクリーニング: 外部から読み込んだ内容に指示の乗っ取り（プロンプトインジェクション）が無いか調べる
• 人への差し戻し: 連続3回、またはセッション累計20回ブロックが続くと手動承認に切り替わる

分類器が余分に使うトークンについては、Pro・Max・Team では課金対象から外され、利用上限にも算入されません。モードの切り替えは CLI では Shift+Tab、デスクトップアプリではドロップダウンで、セッションの途中でも行えます。

8月14日までに現場ですること

個人の Pro／Max 利用者は、既定を触っていなければ特に作業は不要です。8月14日にアプリ内通知が出て、以降のセッションがオートモードで始まります。既に独自の既定を設定している人には、一度だけ確認が表示されます。

チームや管理者側では、切り替え前に現行設定を点検しておくと安全です。想定される手順は次のようなものです。

• 管理設定で組織の既定をピン留めし、継承ではなく意識的な選択にする
• 絶対に許さない操作を hard_deny、破壊的だが正当な操作を soft_deny として書き分ける
• 信頼できるリポジトリ・バケット・ドメインを環境記述として明文化する
• python:* のような言語まるごとの許可ルールは、オートモードが脇に置くため撤去しておく
• 組織として自動判断を受け入れられない場合のみ、管理設定の disableAutoMode で無効化する

「守りは動くが、消えない」と言えるか

利便性の裏で、いくつかの懸念も指摘されています。まず、試験で89%を止めたということは、11%は取り逃がしたということでもあります。エンジニアの Simon Willison 氏は、正規の指示を装う悪意ある第三者パッケージ──いわゆるサプライチェーン攻撃──に分類器が対抗できるかに懐疑を示し、「もっと独立した検証が要る」と述べています。分類器は「取り消せない・破壊的・環境の外」という尺度で判断するため、二次的に別の悪性パッケージを取りに行かせるような連鎖は見抜きにくい、との指摘です。

統制面の変化もあります。従来の承認プロンプトは「誰が『はい』を押したか」という監査の痕跡を残しました。ポリシー設定による運用は、その痕跡がクリック履歴ほど見えにくくなります。加えて今回の比較試験は、実際のコードベースや本番環境ではなく専用のテスト環境で行われたもので、現場のエンジニアなら手動でもっと止められた可能性はあります。Anthropic 自身も「分類システムに依存するためリスクをゼロにはできない。本番インフラへの重大な変更では手動レビューを推奨する」と明記しています。

今回の変更は、安全装置を外す話ではなく、その置き場所を「人の指の反射」から「事前に書いたルールと分類器」へ移す話だと整理できます。守りが動く以上、どこに何を置くか──許可・禁止・環境の線引き──を運用側が言葉で書き切れるかどうかに、実際の安全性はかかってきそうです。

参照: Anthropic「Auto mode is now the default in Claude Code」 ／ Simon Willison's Weblog ／ DigitalApplied ／ Dataconomy ／ explainx.ai