Anthropic تطلق وضع auto mode في Claude Code: الحظر الخاطئ ينخفض إلى 0,4%

يوافق مستخدمو Claude Code على 93% من طلبات الأذونات، أي أن الموافقة اليدوية تحوّلت منذ وقت طويل إلى ضغطة انعكاسية على «Approve». تحاول Anthropic التخلص من هذا الأثر عبر auto mode، وهو وضع تتخذ فيه مصنِّفات قائمة على النماذج القرارات. على 10 000 استدعاء حقيقي للأدوات من موظفي الشركة، يحظر خط المعالجة الكامل بالخطأ 0,4% فقط من الإجراءات الآمنة. لكنه يفوّت 17% من الحالات الخطرة فعلًا، وتقول Anthropic ذلك صراحةً في تحليلها.

لماذا الحاجة إلى وضع وسيط

أمام المستخدم حاليًا طريقتان للتخلص من التأكيدات الزائدة. الأولى هي البيئة المعزولة (sandbox). وهي آمنة، لكنها تتطلب إعدادًا لكل قدرة جديدة، وكل ما يحتاج إلى الشبكة أو إلى الوصول إلى المضيف يكسر العزل. والثانية هي الخيار --dangerously-skip-permissions، الذي يعطّل جميع الطلبات ولا يحمي من أي شيء. أما التأكيدات اليدوية فتقع في المنتصف، لكن فائدتها محدودة بسبب الإرهاق الناتج عنها.

يبيّن سجل الحوادث الداخلي في Anthropic ما ينبغي الحذر منه تحديدًا. فقد حذف الوكيل فروع git البعيدة بسبب سوء فهم أمر ما. وحمّل رمز GitHub الخاص بأحد المهندسين إلى عنقود حوسبة داخلي. وحاول تشغيل عمليات ترحيل (migrations) على قاعدة بيانات الإنتاج. في جميع الحالات لم يحاول النموذج الإضرار، بل أبدى مبادرة زائدة. وهذا النمط موصوف في system card الخاصة بـ Claude Opus 4.6.

كيف تعمل الحماية

الحماية من طبقتين. عند الدخول، يفحص مجسٌّ على الخادم مخرجات الأدوات (قراءة الملفات، طلبات الويب، مخرجات الصدفة، ردود الخدمات الخارجية) قبل أن تصل إلى سياق الوكيل. وإذا بدا المحتوى كمحاولة للاستيلاء على التحكم، يُضاف إليه تحذير: اعتبر المصدر مشبوهًا والتزم بالمهمة الأصلية للمستخدم.

عند الخروج، يعمل مصنِّف السجل على Sonnet 4.6. وينفّذ مرحلتين: مرشِّحًا سريعًا برمز واحد (token) يجيب عن سؤال «هل يُحظر أم لا»، ثم استدلالًا بسلسلة الأفكار، لكن فقط لما وسمته المرحلة الأولى. لا يرى المصنِّف سوى رسائل المستخدم واستدعاءات الأدوات. أما عبارات Claude ومخرجاته فتُحذف، ولذلك لا يرى استدلالات الوكيل، وهذا مقصود في التصميم.

تُتخذ القرارات عبر ثلاثة مستويات:

• المستوى 1: قائمة مدمجة بالأدوات الآمنة (القراءة والبحث والتنقل) والقواعد المخصصة للمستخدم. عند الدخول إلى auto mode تُسقَط القواعد التي تتيح تنفيذ شيفرة اعتباطية: الوصول العام إلى الصدفة، ومفسِّرات python وnode وruby مع الأقنعة، والتشغيل عبر مديري الحزم.
• المستوى 2: تعديلات الملفات داخل المشروع تمر دون مصنِّف، إذ يمكن التحقق منها عبر نظام التحكم في الإصدارات.
• المستوى 3: كل ما عدا ذلك، من أوامر الصدفة وطلبات الويب إلى إنشاء وكلاء فرعيين والعمليات خارج دليل المشروع، يذهب إلى المصنِّف.

يقيّم المصنِّف الأثر الفعلي للإجراء لا نص الأمر. فإذا كتب الوكيل payload في ملف ثم شغّله، يُفحص الـ payload. وتُعدّ السلسلة المربوطة بـ && إجراءً واحدًا. أما السكربت الذي يبني أمر صدفة فيُحلَّل بحسب الناتج المبني. ويُعدّ كل ما اختاره الوكيل بنفسه غير مسموح به ما لم يقل المستخدم غير ذلك. فطلب «نظّف الفروع» لا يمنح حق الحذف الجماعي، وسؤال «هل يمكننا إصلاح هذا؟» لا يُعدّ تعليمات.

بشكل افتراضي لا يُعدّ موثوقًا سوى مستودع git الحالي. وتزيد قواعد الحظر على عشرين قاعدة، مجمّعة في أربعة محاور: إتلاف البيانات وتسريبها، وإضعاف الحماية، وتجاوز حدود الثقة، والالتفاف على المراجعة والتأثير في الآخرين. ويمكن الاطلاع على القائمة بالأمر claude auto-mode defaults.

الأرقام والقيود

اختبرت Anthropic خط المعالجة على ثلاث مجموعات: 10 000 استدعاء حقيقي من الموظفين، و52 حالة حقيقية من المبادرة الزائدة، و1 000 محاولة اصطناعية لتسريب البيانات (exfiltration)، بعضها مع تعمية (obfuscation).

• المرحلة 1 (المرشِّح السريع): 8,5% إنذارات كاذبة على الحركة الحقيقية؛ 6,6% إجراءات خطرة فائتة في الحالات الحقيقية؛ 1,8% في التسريب الاصطناعي.
• خط المعالجة الكامل (المرحلة 1 والمرحلة 2): 0,4% إنذارات كاذبة؛ 17% إجراءات خطرة فائتة في الحالات الحقيقية؛ 5,7% في التسريب الاصطناعي.

تنظّف المرحلة الثانية حالات الحظر الخاطئ، لكن على حساب الشمولية: فبعض الإجراءات الخطرة يمر. وعيّنة الـ 52 حالة صغيرة، لأنها تتطلب أن يحاول Claude فعل شيء خطر في جلسة حية وأن يوثّق إنسان ذلك. وينقطع العرض في النص الأصلي تحديدًا عند مناقشة هذه النسبة 17%، لكن Anthropic لا تُخفي الرقم نفسه.

كيف تستخدمه

لا يحل auto mode محل البيئة المعزولة حيث يكلّف الخطأ ثمنًا باهظًا: ففي بنية الإنتاج التحتية ومع الأسرار الحقيقية يكون العزل أكثر موثوقية. وفي الحالات الأخرى يبدو الوضع بديلًا معقولًا للعلم الأعمى الذي يتخطى الأذونات. قبل التفعيل ينبغي مراجعة قواعد allow الخاصة بك: فالقواعد الواسعة للمفسِّرات سيُسقطها الوضع على أي حال. أما منظمات GitHub الموثوقة وحاويات التخزين السحابية (buckets) وواجهات API الداخلية فيجب تحديدها في الإعدادات. وإلا فسيُعدّ أي إرسال خارج المستودع تسريبًا محتملًا. وتنصح Anthropic بتعديل القيم الأساسية بدل كتابة الإعدادات من الصفر.