Anthropic 宣布自 2026 年 8 月 14 日起，将编程智能体 Claude Code 的 Pro、Max 与 Team 套餐默认权限模式切换为”自动模式”（Auto Mode），由独立 AI 分类器实时拦截危险命令。基准测试显示，AI 分类器对危险命令的拦截率达 89%，而人类评审者在压力场景下仅识别 13.6% 风险。这标志着 AI 编程工具从”事事请示”走向”智能判断”的安全分水岭。
事件概述
2026 年 8 月，Anthropic 公开 Claude Code 自动模式研究与部署计划。数月以来，Anthropic 通过对比人工许可提示与自动审查发现，付费用户对 97% 的权限请求直接点”批准”，且多次为条件反射式操作。这种”审批疲劳”留下了显著的安全漏洞，导致恶意指令在看似合规的工作流中执行。
在 1053 名付费专业测试者的对照实验中，测试流程被混入 1053 条危险命令：人工评审者仅识别其中 13.6% 的威胁，而自动模式分类器成功拦截 89%。进一步数据显示，自动模式额外拦截了 800 条人类已批准的危险命令，而人类仅拦下 6 条自动模式漏掉的命令。值得注意的是，随着会话时长累计超过 50 次许可提示后，人类识别率从早期 17% 骤降至 5%，自动模式检测率则保持稳定。
技术细节
Claude Code 自动模式的核心是独立部署的 AI 安全分类器，与编码代理本身解耦。该分类器在每次工具调用和 Shell 命令执行前实时评估其风险等级，自动放行安全操作、拦截破坏性、不可逆或越权行为。当检测到风险时，Claude 通常会提出更安全的替代方案，或直接向用户请求显式确认。
在第三方 720 次提示注入攻击测试中，自动模式实现 100% 拦截，0 次成功；相比之下，OpenAI Codex 工具在类似测试中攻击成功率介于 5.83% 至 19.03% 之间。Anthropic 同时引入熔断机制：当连续触发 3 次拦截或单会话累计触发 20 次拦截时，Claude Code 自动回退到手动审批模式，避免分类器长时间拦截下的可用性问题。
需要特别关注的是，现有权限规则在大多数情况下优先于分类器，但过于宽泛的”允许”规则（如不受限的 Python 或 Node.js 执行）会被自动模式暂时搁置。这一设计防止”过度宽松规则绕过分类器”导致的安全机制失灵，反映了 Anthropic 对”权限继承路径”的深入思考。
影响评估
- CVSS 评级：本事件不归属单一 CVE，但反映 AI 编码工具的供应链攻击面正在扩大，参照 OWASP LLM Top 10 属于 LLM01（提示注入）与 LLM05（供应链漏洞）交叉领域。
- 利用复杂度：低。攻击者通过自然语言提示注入或拼写相似包名（Typosquatting）即可绕过传统安全意识薄弱的人类审批者。
- 实际危害：单条未拦截的”rm -rf”或”git config 注入”即可造成代码库、生产环境或开发主机不可逆损失。
- 检测率对比：自动模式 89% vs 人类 13.6%，验证 AI 分类器在”重复性高、上下文敏感、需要一致性判断”的任务中已显著优于人类。
- 生态影响：Anthropic 计划在未来一个月内将自动模式推广至 Enterprise、API 及云平台用户，行业 AI 编程工具安全基线将被整体抬升。
修复建议
- 启用自动模式：Claude Code 用户应在 8 月 14 日后尽快接受默认模式变更，对关键项目仍可保留人工审批作为兜底。
- 权限规则收敛：清理工具配置中过于宽松的”允许”规则（不限路径的 Python/Node 执行），按目录、环境区分授权。
- 审计与可追溯：对所有 AI 触发的命令建立集中日志，便于事后溯源与责任划分。
- 沙箱隔离：将 AI 编码工作流限制在容器化沙箱中运行，限定网络出站与文件写入白名单。
- 提示注入演练：定期对开发团队进行提示注入与 Typosquatting 钓鱼演练，建立”对 AI 输出保持怀疑”的安全文化。
- 第三方工具对比：评估 OpenAI Codex、Google Gemini CLI、Cursor 等同类工具的默认安全模式，必要时通过插件或代理补齐分类器能力。
- 关注 CVE 生态：持续跟踪 AI 编码工具相关漏洞披露（如 CVE-2026-12537 Gemini CLI、CVE-2026-54316 Claude Code），建立快速升级机制。