Claude Code、8月14日からautoモードがデフォルトに──「人間の承認は危険コマンドの13.6%しか止めていなかった」

2026年8月8日時点の情報です。 Anthropicは8月7日（米国時間）、Claude Codeの「autoモード」を8月14日からPro・Max・Teamプランのデフォルトにすると発表しました。操作のたびに人間が承認ボタンを押す方式をやめ、AIの分類器が各ツール実行をチェックする方式が標準になります。根拠としてAnthropicが公開したのは、「人間の承認は危険コマンドの13.6%しか止めていなかった」という1053人規模の実験データです。あわせて、別々に動いているClaude Codeのセッション同士が直接メッセージを送り合える「cross-session messaging」も公式ドキュメントに登場しています。

2つのアップデートの中身は11分の解説動画にもまとめています。

・8月14日から、Pro/Max/Teamプランの新規セッションはautoモードで開始。自分でデフォルトを設定済みの人には切り替え確認が1回出るだけで、設定は上書きされない（Anthropic発表） ・根拠は人間側のデータ。ユーザーは権限確認の97%をそのまま承認しており、1053人実験では危険コマンドの検出率が人間13.6%に対し分類器89%だった ・同時に、Claude Codeのセッション同士が直接テキストの伝言を送り合えるcross-session messagingが利用可能に（v2.1.224以降・macOS/Linux）

何が変わるのか

自分でデフォルトモードを設定している場合は、切り替えるかどうかの一度きりの確認が表示されるだけで、勝手に上書きはされません。モード自体はこれまで通りShift+Tab（デスクトップアプリはモード選択）でいつでも変更できます。

なぜ人間の承認をやめるのか──97%が素通しだった

Anthropicが挙げる理由は、承認ボタンの形骸化です。発表によると、ユーザーはClaude Codeの権限確認の97%をそのまま承認しています。比較として、Claudeが提示する作業計画は39%が却下されるのに対し、個別の権限確認の却下率は3%。さらに62%のユーザーがbypassPermissions（承認の全スキップ）か、Bashコマンドの「今後表示しない」を使った経験があり、49.5%はBashの許可ルールを自分で作成済みとしています。

数字が示すのは「人間は個別の承認をほぼ読んでいない」という実態です。そのうえでAnthropicは、承認クリックの実効性を測る実験を行っています。

1053人実験──人間13.6% vs 分類器89%

発表によると、1053人の有償テスターによるブラインド実験で、作業の途中に明らかに危険なコマンドの承認画面を1回だけ混ぜたところ、気づいて止めた人間は13.6%（143/1053人）。同じコマンドをautoモードの分類器は89%（937/1053件）ブロックしました。直接対決の内訳は、分類器だけが止めたケースが800件、人間だけが止めたケースは6件です。

さらにセッションが長引くほど人間の検出率は下がり、序盤の約17%が確認50回超では約5%まで低下。分類器の検出率はセッションの長さによらず横ばいだったとしています。

実運用データも公開されています。安全パイプラインで要注意フラグが付いたセッションを分析したところ、ユーザーが頼んでいない深刻な有害操作（重大度7以上＝本番環境級）を含む率は、手動承認セッションが6.3%、autoモードセッションが2.4%。手動承認の方が2倍以上多かったとしています。

Anthropic社内で実際に止めた3件

発表には、autoモードを全社デフォルトにしているAnthropic社内で分類器が実際に止めた事例が3つ挙げられています。

1. アップロードに失敗した内部資料を、外部の公開コードサイトに上げ直そうとしたフォールバック動作
2. 約2000個のポッドへの一斉プロセスkillと、GPU数百基分の実行中学習ジョブの削除
3. 「読み取り専用の課金アクセス」の依頼に対し、アカウント最上位の管理者権限を付与しようとした操作

プロンプトインジェクション（外部データに指示を混ぜ込みAIを乗っ取る攻撃)の第三者評価では、Trajectory Labsによる720回の攻撃でautoモードのClaude勢（Fable 5/Opus 5/Sonnet 5）は成功ゼロ、CodexのAuto-reviewモードは5.83%が成功したとしています（この比較の条件は後述の但し書きを参照）。

もう1つのアップデート──セッション同士が直接会話する

同時期に公式ドキュメントへ追加されたcross-session messagingは、別々のターミナルで動いているClaude Codeセッション同士が、直接テキストの伝言を送り合える機能です。ドキュメントによると、片方のセッションでの変更が他方の作業を壊す場合に警告を送ったり、長時間の移行作業やテストを走らせているセッションに完了報告をさせたりできます。これまで人間がターミナル間でコピペしていた「伝言係」の仕事が不要になる、という位置づけです。

条件と制限は次の通りです（いずれも公式ドキュメントによる）。

• v2.1.224以降・macOS/Linuxで、条件を満たせば設定不要で有効。Windowsネイティブは非対応
• 送れるのはテキストのみで、会話履歴やファイルは渡らない。同一マシン内はソケット直通で、Anthropicのサーバーを経由しない
• 別マシンやWeb版のセッションへはRemote Control経由の「返信のみ」。こちらから会話は始められない
• 受信したメッセージは「ユーザーの指示ではない」と明示され、承認の代行・設定やCLAUDE.mdの変更・コマンド実行はできない
• 受信制御はaccept/hold/refuseの3段階。同一内容の連投は自動破棄、未読50件で頭打ちになり、セッション同士の無限ループは自然停止する

承認から人間を外すautoモードと、セッション同士が人間を介さず連携するcross-session messaging。2つのアップデートは「人間が承認ループの外に出て、結果を見る側に回る」という同じ方向を向いています。

筆者は常にautoモードで使っている──ただし急所はhookで縛る

この記事を書いている筆者は、Claude Codeを毎日使い、常にautoモードで運用しています。承認待ちで手が止まらないため、大きなタスクを投げて別の作業に移れるのが実利です。一方で、自動で走らせているがゆえのやらかし──設定ファイルを勝手に書き換えられる、想定外の課金をされかける──も実際に食らってきました。だから「絶対にやられたくない操作」だけは、許可リストのようなルールベースより強い仕組みであるhookで機械的にブロックしています（やり方はAIにルールを守らせるhook活用術にまとめています）。分類器を信頼しつつ、最後の砦は自前で持つ。これが毎日自動運用している筆者の現時点の結論です。

正直な但し書き

• 1053人実験は専用のテスト環境でのブラインド調査で、参加者自身のプロジェクトではありません。また承認しても実際に危険なコマンドは実行されない設計だったとAnthropicは説明しています
• 有害操作率（6.3%/2.4%）は、要注意フラグが付いたセッションのうちデータ利用に同意したアカウントのみをモデルで再採点した分析です
• プロンプトインジェクション比較は第三者Trajectory Labsの独自ブラウザ統合上での測定で、OpenAI/Anthropic純正ブラウザ拡張の防御は含まれていません。OpenAIは評価直後にAuto-reviewを更新しており、Anthropic自身が「結果が変わる可能性がある」と脚注で認めています
• Anthropicは発表の末尾でこう書いています。

while we believe auto mode reduces risk for most users, it relies on classification systems and therefore does not eliminate risk. For high-stakes changes to production infrastructure, we still recommend reviewing Claude's actions yourself.

（autoモードは大半のユーザーのリスクを下げると考えているが、分類システムに依存しており、リスクをゼロにするものではない。本番インフラへの重大な変更については、引き続き自分自身でClaudeの行動をレビューすることを推奨する）

出典・但し書き

• 出典は文中および冒頭のソース欄の通り、Anthropic公式ブログ（2026年8月7日）とClaude Code公式ドキュメント（2026年8月8日閲覧）です
• 本文の数字はすべて上記一次ソースからの引用で、筆者による独自検証は行っていません
• 8月14日の切り替え仕様・Enterprise向けの展開時期は発表時点の予定であり、変更される可能性があります

動画では、実験の内訳やcross-session messagingの安全設計をずんだもん・四国めたんの対話形式で解説しています。感想・質問はYouTubeのコメント欄へ。次の記事・動画に反映します。