Claude Code Auto Modeが8月14日に既定化｜エンジニアが今すぐ確認すべき設定4つ
「毎回出てくる承認ボタンを押し続けるのが面倒」と感じているエンジニアは多いはずです。その承認プロンプトが、2026年8月14日から標準では出なくなります。設定を確認しないまま当日を迎えると、想定より広い範囲の操作がClaudeの判断だけで実行されることになります。
この記事では、変更の中身を最短で押さえたうえで、8月14日までに確認すべき設定4つと、従来の承認モードに戻すオプトアウト手順を具体的に整理します。
Claude Codeの承認ボタンが8月14日に消える｜まず結論
Anthropicは2026年8月7日、8月14日からPro・Max・TeamプランのClaude Codeで、新規セッションの既定の権限モードをAuto Modeにすると発表しました（Anthropic公式ブログ、確認日2026-08-09）。ツールコールごとの承認プロンプトは標準では表示されなくなります。
ただし、すでに自分でデフォルトモードを設定しているユーザーは、その設定が維持されます。切り替えを促すプロンプトが1回だけ表示されますが、拒否すれば現行モードのままです。Team・Enterpriseで管理設定によりデフォルトが固定されている場合は、組織側の設定が優先されます。
Enterprise・Anthropic APIでは当面オプトインのままで、今後1ヶ月程度で既定化される予定とされています。この記事の内容は2026-08-09時点の公式情報に基づくため、適用日や仕様は公式ドキュメントで最新版を確認してください。
本記事で紹介する設定や機能の一部はCLIバージョンに依存します。claude --version で現在のバージョンを確認し、自分の環境が対象かどうかを先に把握しておくと安心です。
Auto Modeとは｜従来の「毎回承認」との違い
Auto Modeは、人間による1ツールコールごとの承認を、専用の分類器（クラシファイア）による自動審査に置き換える権限モードです。取り消し不能・破壊的・環境外に影響する操作を分類器がブロックします。
ブロックされた場合、Claudeはそこで止まるのではなく、安全な代替手段を探すか、ユーザーに承認を求めます。分類器が3回連続、または合計20回ブロックすると、Auto Modeは一時停止して通常の承認プロンプトに戻ります。このしきい値は設定できません。
なお非対話モード（-pフラグ）では承認する人間がいないため、ブロック時にセッションが中断します。CIやバッチ処理でClaude Codeを回している場合は、この挙動を先に把握しておくべきです。
分類器は既定でSonnet 5上で動作し、/modelで選んだモデルとは独立しています。
課金の扱いは契約形態によって結論が逆になるため、自分の環境がどちらに当たるかを先に確認しておきましょう（2026年8月時点）。
- 課金対象外: Pro・Max・Team ── 分類器のトークン消費は無償
- 課金対象: Enterprise・Anthropic API・Amazon Bedrock・Google Cloud Vertex AI・Microsoft Foundry ── 分類器の呼び出し自体がトークン課金の対象
無償化の適用開始日はメディアによって表現に揺れがあるため、料金影響が気になる場合は公式ドキュメントで確認してください。
なぜ既定化するのか｜Anthropicが公開したデータ
Anthropicは既定化の根拠として、有償テスター（Anthropicから報酬を受けて検証に参加したテストユーザー）1,053人を対象とした実測データを公開しています。以下はいずれも同社の発表に基づく数値です。
| 観点 | 数値 | 示していること |
|---|---|---|
| 個別の権限確認プロンプトの承認率 | 97%（拒否は3%） | 人間はほぼ機械的に承認している |
| Claudeが提示した計画（プラン）の却下率 | 39% | 判断は個別コマンドより計画段階で行われている |
| 危険コマンドの人間による検出率 | 13.6% | 目視レビューの精度は高くない |
| セッション初期 → 50回以上の確認後 | 約17% → 約5% | 確認疲れで検出率が下がる |
| 分類器による遮断率 | 89%（セッション長に依存しない） | 一定の精度を維持する |
Auto Modeを利用するチームでは約25%多くのプルリクエストが出荷され、Adobe・Nuro・Gusto・Garner Healthなどが標準運用しているとされています。またセッションの約10%で分類器が正当な理由でブロックしているとのことです。
出典: Anthropic公式ブログ
Auto Mode自体は新機能ではなく、2段階の分類器パイプライン（単一トークンの高速フィルタ→思考連鎖推論）は2026年3月25日のAnthropic技術ブログで公開済みの設計です。8月14日の変更は機能の初出ではなく「既定化」だという点に注意してください。
8月14日までに確認すべき設定チェックリスト4つ
ここからが本題です。以下の4項目を当日までに確認しておけば、意図しない挙動の大半は避けられます（Auto Modeとは別機能ですが、合わせて確認しておきたい項目は番外として後述します）。
1. 現在のデフォルトモードを確認する
まず自分のセッションがどのモードで起動するかを確認します。claude auto-mode config で実際に適用されるルールを、claude auto-mode defaults で組み込みルールを表示できます。既に permissions.defaultMode を明示設定していれば8月14日以降も維持されるため、ここで現状を把握しておくのが最優先です。
2. 広い許可ルールが無効化される前提で見直す
Auto Mode中は、Bash(*) や Bash(python*) のような広い許可ルール、パッケージマネージャのrunコマンド、Agent許可ルールが自動的に無効化されます。分類器の回避を防ぐための仕様です。Bash(npm test) のような狭い許可ルールは引き続き有効で、モードを抜ければ無効化されたルールは復元されます。ワイルドカードに依存した運用をしているチームは、狭いルールへの書き換えを先に済ませておきましょう。
3. autoMode.environment に信頼する対象を登録する
設定は ~/.claude/settings.json（個人）または管理設定（組織）の autoMode ブロック内、autoMode.environment に信頼するリポジトリ・バケット・ドメインを登録します。配列に "$defaults" を含めれば、組み込みルールを維持したまま自分のルールを追記できます。
4. ルールを定義し、レビュー・リセットの手段も確認する
必ず人間の承認を挟みたい操作は、以下の3段階でルールを定義します。
allow（許可）: 自動実行してよい操作soft_deny（警告）: 実行前に警告を出す操作hard_deny（禁止）: 自動実行させない操作。本番系の操作や外部送信など、絶対に自動実行させたくないものはここに寄せるのが安全です
さらに、classifyAllShell を true にすると、狭い許可ルールも含めて全シェルコマンドを分類器に通せます。
定義したルールは claude auto-mode critique でAIレビューにかけられます。また、v2.1.212以降では claude auto-mode reset で個人設定をリセットできます。
番外：クロスセッション機能の設定も確認しておく
ここまでの4項目はAuto Mode本体の設定ですが、8月7日には別トピックとして、セッション間通信の ListAgents/SendMessage（macOS/Linux(WSL2)対応、v2.1.224以降が必要）も追加されました。Auto Modeとは別機能ですが、確認のタイミングが近いため合わせて見ておくと安心です。受信制御は crossSessionInbound（accept/hold/refuse）、マシン間送信の承認要否は isolatePeerMachines（trueで要承認）で設定でき、この2つの安全策は、承認を一切求めない bypassPermissions モード（すべてのツールコールを自動承認する設定）でも有効なままです（公式ドキュメント）。
従来の承認モードに戻す方法（オプトアウト手順）
「まだAuto Modeは早い」と判断した場合の戻し方をまとめます。日本語記事ではここが手順化されていないことが多いので、環境別に整理します。
| 環境・目的 | 操作 |
|---|---|
| CLIで一時的に切り替え | Shift+Tab でモード切り替え |
| CLIで起動時に指定 | claude --permission-mode default（別名 manual） |
| VS Code／デスクトップ／claude.ai | モード選択UIから変更 |
| 個人のデフォルトを固定 | ~/.claude/settings.json に "permissions": {"defaultMode": "default"} |
| 組織全体で禁止 | 管理設定で permissions.disableAutoMode を "disable" に設定 |
注意点として、.claude/settings.json などプロジェクト側の設定では auto が無視されます。リポジトリ側が勝手にAuto Modeを付与できないようにするための安全策です。他人のリポジトリをクローンした際に権限が緩む心配はありません。
Auto Modeが自動でブロックする操作・許可する操作
実務で判断が分かれやすいのがこの境界線です。公式ドキュメントに挙げられている代表例を整理します。
| 区分 | 代表例 |
|---|---|
| ブロックされる | curl | bash によるコード実行、機密データの外部送信、本番デプロイ・マイグレーション、force push、シークレットマネージャへの書き込み、DNS/TLS変更、未承認のPRマージ、--insecure など安全機構を解除するフラグ、rm -rf /・rm -rf ~（コマンド置換内を含む） |
| 許可される | 作業ディレクトリ内のファイル操作、ロックファイルに基づく依存関係インストール、作業中リポジトリの任意ブランチへのpush（production などデプロイ用途を示すブランチ名は対象外） |
ポイントは「作業中リポジトリへのpushは通るが、force pushと本番系ブランチは止まる」という線引きです。またサブエージェントにも分類器が3段階で適用されます。起動前のタスク内容審査、実行中の各アクション審査、終了後の全履行履歴レビューの3つです。
セキュリティ上の注意点｜89%はゼロではない
分類器の遮断率89%は、裏を返せば約11%は素通りする計算です。公式ドキュメントも「Auto modeは権限プロンプトを減らすが安全性を保証するものではない。方向性を信頼できるタスクに使うべきで、機微な操作のレビューの代替にはならない」と明記しています（Permission modes、確認日2026-08-09）。
出典: Anthropic公式ブログ
分類器は、ユーザーの発言・ツールコール・CLAUDE.mdの内容は読みますが、ツールの実行結果（ファイル内容やWebページ内容）はテキストとして直接読まない設計です。悪意あるコンテンツによる分類器への直接操作を防ぐためで、別途サーバー側で不審な内容を検知するプローブも動作します。ただしサードパーティパッケージ経由の攻撃など、この仕組みだけでは防ぎきれない経路は残ります。
英語圏の技術メディアやHacker Newsでは「確認疲れの解決策としては合理的だが、プロンプトインジェクションやサプライチェーン攻撃への完全な防御ではない」という慎重な論調が目立ちます（Simon Willison氏の記事など）。独立した第三者検証はまだ十分ではないとの指摘もあり、社内の機微なリポジトリでは段階導入が無難です。
なお、2026年5月にCLI v2.1.116〜v2.1.199で報告されたディープリンク経由のRCE脆弱性は、v2.1.118で修正済みの別問題です（Developer Tech）。今回の既定化とは直接関係しませんが、古いバージョンを使い続けている場合はアップデートしておきましょう。
まとめ｜チームで導入する前にやること
Claude Code Auto Modeの設定は、個人と組織で見るべき場所が違います。8月14日までに以下だけは済ませてください。
- 個人:
claude auto-mode configで現状確認 → 広い許可ルールを狭いルールへ書き換え → 戻したければ~/.claude/settings.jsonに"defaultMode": "default"を設定 - 組織（Team/Enterprise）: 管理設定で
autoMode.environmentとhard_denyを先に定義 → 保留したい場合はpermissions.disableAutoModeを"disable"に設定 → メンバーへ周知 - 共通: 非対話モード（
-p）で動かしているジョブの中断リスクを確認する
Auto Modeは承認ボタンを減らす機能であって、レビューを不要にする機能ではありません。まずは低リスクなリポジトリで1週間試し、分類器がどこでブロックするかを観察してから適用範囲を広げるのが安全です。仕様は短期間で更新されるため、導入前にPermission modesとAuto mode configurationの最新版を必ず確認してください。
