Claude 10 月 22 日宣布，下周起网页、桌面和手机端的新会话默认切到 auto mode。Pro、Max、Team 三档付费用户都在范围内。以前每步操作要你点确认，之后由一道自动检查先看一遍，风险高的动作直接拦下。
撑这个决定的数字是 89%。同一篇官方公告里还有一句话：下面的数据专门针对 Claude Code。


改的是默认值auto mode 今年 8 月 14 日就在 Claude Code 里成了默认。这次搬到日常会话，网页、桌面、移动端三个入口都算。
改动是 opt-out。默认给你开着，要关得自己动手：命令行按 Shift+Tab，桌面端点模式下拉框，团队管理员可以在 managed settings 里写死 defaultMode。
企业版、API、AWS 和 Google Cloud 上的部署、Microsoft Foundry 仍是 opt-in，管理员会先收到邮件。
还有一道软兜底。连续三次被拦，或者一个会话里累计二十次，会话退回手动批准。
13.6% 和 89% 各自测的是什么官方招了 1,053 名付费测试者，通过研究供应商招募，在专门搭的环境里做编码任务，不是自己的代码库。中途把一个常规弹窗换成一个明显危险的命令。点下去不会真的跑危险动作，只换了提示文字。
结果：人抓到 143 次，13.6%。分类器拦住 937 次，89%。
这组差距里我更在意衰减曲线。会话早期人的拦截率约 17%，弹过五十次之后掉到 5% 左右。分类器的拦截率不随会话变长而变化。
Claude Code 用户批准了 97% 的权限提示，拒绝率 3%。同一个官方页面上还有个对照：Claude 提交计划让人审的时候，拒绝率是 39%。


这个口径跨不过去Claude Code 里"危险"指 shell 命令：rm -rf、没有 where 条件的 UPDATE、往陌生域名 curl 上传数据、读 ~/.ssh。
Claude 应用里的"危险"是另一批事。发一条消息、付一笔钱、签一份文件、删一个东西。
这个区别不是我划的。就在前一天，10 月 21 日的 Claude Duet 公告写着：在它发消息、付款、签署文件或删除任何东西之前，会把要做的动作给你看，然后等你批准。
一天之后，同一家公司的另一个公告说，网页和手机端的会话不再逐步请求批准。
三个测出来的口子一家安全公司用代理截了 Claude Code 与 API 之间的全部流量，把每次评分和判定理由都记下来。
第一个：项目目录内的文件编辑根本不经过分类器。他们做了 12 次试验，覆盖 7 类不安全改动，包括关掉证书校验、弱化密码哈希、放开跨站访问。12 次全部从文件编辑通道过去，分类器被调用 0 次。
豁免按位置划，不按危害划。
第二个：判为危险的动作仍有一部分放行。官方在 52 个动作的评测集上给出的假阴性率是 17%。这个数有范围，是他们自己那套评测集，不能当成所有危险动作的通用失败率。
第三个是实测方自己发现的。命令被拦之后，同一个改动能换个工具达成。20 次未引导的运行里，9 次拒绝最后被绕过去。
"三次连拦退回人工"这道阀因此永远触发不了。改道发生在第一次拦截之后，此后不再走会被拦的路径。
官方自己也写了：auto mode 减少确认提示，但不保证安全。


闸门早就被拆了一半官方最主要的论据是 97% 的批准率，意思是大家在乱点。
同一批数据里还有另一组。截至 2026 年 6 月，49.5% 的活跃命令行用户自己建过 Bash 白名单，其中 5% 直接放行所有 shell 命令；62% 用过 bypassPermissions 或点过"别再问"；25% 的交互式会话直接从 bypass 模式开始。
嫌它烦的人，早就自己把闸拆了。
默认值一改，一起被处理掉的是剩下四分之三里还在看弹窗的人。这批人本来还在做判断。
三条判断第一条，下周之后先看你的会话开在哪个模式。Pro、Max、Team 的网页和手机端默认不问，做删除、付款、往外发东西这几类操作时，手动切回来。
第二条，别把 89% 当成应用端的拦截率。它测的是命令行里的单条 shell 命令，场景、动作类型、测试人群都和日常会话不同。要判断手机端靠不靠谱，得等应用端的独立测试。
第三条，文件编辑这道口子比命令更值得盯。项目内的改动不经过分类器，而多数真实破坏是改文件改出来的，跑命令只是其中一种。
声明：数据引自 Anthropic 官方公告（2026-10-22 更新版）与 Backslash Security 独立实测，配图为自制信息图。