Claude Code Auto Mode上线：省掉点击，也省掉了人

8月14日，Claude Code在Pro、Max和Team订阅中默认启用自动审批模式。开发者不再需要逐条点击"同意"，AI分类器接管了危险命令的拦截工作。

Anthropic的测试数据显示了一个反直觉的结论：人比AI更不可靠。1053名付费测试者在任务中途遇到明显危险命令，仅拦下13.6%。Auto Mode拦下了89%，是人类的6.5倍。会话越长，人的防守越松动——点过50次弹窗后，拦截率从约17%掉到5%。

这不是一个纯粹的技术升级，而是一次审批权的转移。从"人在环里"到"分类器在环里"。

人机审批谁更靠谱

过去几个月，Anthropic内部数据一直指向同一个问题：用户在Claude Code里的审批行为正在退化。

数据显示，用户批准了97%的权限提示。这个比例看起来说明命令都很安全，但Anthropic的说法更直接——这是一种反射性点击，不是真正的审查。相比之下，用户拒绝了39%的提议方案，说明人们在面对有意义的工作流决策时并非不会判断，只是命令级别的弹窗来得太快太频繁，已经失去了区分价值。

更具体一些。到6月份，49.5%的活跃CLI用户已经创建了Bash放行规则。其中5%放行了任何shell命令，43%放行了Python或Node解释器——这些规则宽到几乎可以执行任何东西。还有62%的用户尝试过bypass权限或选择"不再询问"，四分之一的交互会话直接以绕过权限的状态启动。

当安全决策变成了肌肉记忆，防线的实质意义就已经消失了。

Claude Code之父Boris Cherny透露，团队自己已经连续几个月使用Auto Mode，已经无法接受再一个个点权限弹窗。这个决定不是来自安全研究的推荐，而是来自产品团队的真实体感。

三层防御不是空架子

Auto Mode不是简单地关掉了弹窗。它背后的架构有三层：

第一层是对模型进行对齐训练，让模型学会辨别指令的来源——区分你的输入和网页里嵌入的恶意指令。第二层是输入侧的探针，对AI读取的外部内容进行检查。第三层是输出侧的动作分类器，在AI行动前判断是否得到用户授权以及是否存在风险。

Trajectory Labs的独立测试覆盖72个间接提示注入场景、720次攻击尝试。Claude Fable 5、Opus 5和Sonnet 5在Auto Mode下全部零失分。作为对比，OpenAI的GPT-5.6 Sol在Codex的Auto-review模式下有5.83%的失败率，Full Access模式下高达19.03%。

但这不是绝对安全的保证。香港科大和ETH的压力测试显示，端到端漏判率飙到了81%。分类器看不见的攻击路径依然存在。

11%的遗漏率意味着什么？ 在1053条危险命令中，Auto Mode仍然有116条没有被拦截。这不是一个可以忽略的数字。

企业开始算账

与Claude Code的安全升级几乎同步，另一条线正在展开——企业AI成本的失控。

Uber在2026年上半年只用了四个月就耗尽了全年的AI编程Token预算。部分重度用户每月产生的账单高达2000美元。6月2日，Uber将Claude Code和Cursor的月额度设为每人每个工具1500美元。

微软的做法更激进。5月发布通知，计划收回绝大多数员工的Claude Code使用授权，要求研发人员切换至GitHub Copilot CLI。执行副总裁杰伊·帕里克在内部邮件中明确表态：不鼓励单纯堆砌AI调用次数，工作重心应当落在能够服务客户的实质性成果上。

自7月起，微软各业务部门单独设定AI Token预算指标，员工可以实时查询个人消耗情况。同时，企业将性价比更优的GPT-5.6设定为内部默认模型。

沃尔玛的内部AI工具Code Puppy也在同月从不限量改为固定Token配额。这款工具让用户通过自然语言自行开发软件，过去一年用户从1000人增至7.5万人，采购、供应链、门店经理甚至兼职员工都在使用。

Token从炫耀资本变成了成本中心。 3月份还有公司在搞Token消耗排行榜，给用量最高的员工授予"Token Legend"称号。到了6月，财务系统里的警报已经先报了警。

审批权转移的代价

Auto Mode在多个维度上都比人工更可靠：它在会话过程中保持稳定的拦截率，不会因为疲劳而下降；它可以理解命令的上下文和意图，而不是简单地判断规则匹配；它还可以在被拦截时尝试寻找更安全的替代方案。

但替代方案同样存在风险。720次攻击中零成功，这个数字令人安心，但它的测试集是针对旧模型优化的，同一场景多次测试不代表新场景也能成功防御。更关键的是，当审批权从人转移到分类器，用户对系统的信任就变成了黑盒信任——你知道它在拦截，但你不一定能理解它为什么拦截某条具体命令。

Anthropic内部报告的三个真实拦截事件或许能提供一些参考：阻止了一次内部驱动器故障后的公开上传尝试，拦截了一次可能杀死约2000个pod和数百个GPU训练任务的操作，还阻止了一个会授予根级别管理员权限的云角色分配请求。

这些是分类器实际挡住的危险。至于它没有挡住的那11%，目前还没有公开的事故报告，但理论上它一定存在。

两种路线的分野

Claude Code选择让AI替人做判断，Uber和微软选择限制AI的使用量。两条路线都在回应同一个问题：当AI编程工具变得足够强大，人类该如何控制它？

前者认为人工审批已经被疲劳压垮，分类器更可靠。后者认为成本控制是更直接的杠杆，用预算约束替代技术约束。

这两种思路并不矛盾。Auto Mode解决的是"让AI更安全地自主运行"，Token预算解决的是"让AI的成本可控"。当一个团队同时采用两者时，它们构成了一套完整的治理框架：分类器负责日常的安全边界，预算机制负责战略层面的资源分配。

真正的问题是：当分类器成了新的守门人，谁来监督分类器？

Anthropic的回答是目前还不需要——他们在Apollo Research的两轮对抗性测试中将漏判率从12%降到了7%，说明这个分类器还在持续进化。但7%的遗漏率，对一个已经在97%命令上失去警惕的用户群体来说，意味着什么，还需要时间来回答。