Anthropic lança auto mode no Claude Code: falsos bloqueios caem para 0,4%

Os usuários do Claude Code confirmam 93% dos pedidos de permissão, ou seja, a aprovação manual há muito tempo virou um «Approve» por reflexo. A Anthropic tenta acabar com esse efeito por meio do auto mode, em que classificadores baseados em modelos tomam as decisões. Em 10 000 chamadas reais de ferramentas feitas por funcionários da empresa, o pipeline completo bloqueia por engano apenas 0,4% das ações seguras. Mas, nos episódios realmente perigosos, ele deixa passar 17%, e a Anthropic diz isso abertamente em sua análise.

Por que um modo intermediário

Hoje o usuário tem duas formas de se livrar das confirmações excessivas. A primeira é o sandbox. Ele é seguro, mas exige configuração para cada nova capacidade, e tudo o que precisa de rede ou de acesso ao host quebra o isolamento. A segunda é a flag --dangerously-skip-permissions, que desativa todos os pedidos e não protege contra nada. As confirmações manuais ficam no meio-termo, mas, por causa do cansaço que provocam, servem para pouco.

O registro interno de incidentes da Anthropic mostra do que realmente vale ter medo. O agente apagou branches remotos do git por ter entendido mal um comando. Enviou o token do GitHub de um engenheiro para um cluster de computação interno. Tentou executar migrações no banco de produção. Em todos os casos, o modelo não tentou causar dano, e sim agiu com iniciativa excessiva. Esse padrão está descrito no system card do Claude Opus 4.6.

Como funciona a proteção

São duas camadas. Na entrada, um probe no servidor verifica as saídas das ferramentas (leitura de arquivos, requisições web, saída do shell, respostas de serviços externos) antes que elas cheguem ao contexto do agente. Se o conteúdo parece uma tentativa de assumir o controle, ele recebe um aviso: tratar a fonte como suspeita e manter-se na tarefa original do usuário.

Na saída, atua um classificador de transcrição baseado no Sonnet 4.6. Ele funciona em duas etapas: primeiro um filtro rápido de um único token, que decide «bloquear ou não»; depois um raciocínio em cadeia de pensamento, aplicado apenas ao que a primeira etapa sinalizou. O classificador vê somente as mensagens do usuário e as chamadas de ferramentas. As falas e saídas do próprio Claude são removidas, então, por projeto, ele não enxerga o raciocínio do agente.

As decisões seguem três níveis:

• Nível 1: uma lista embutida de ferramentas seguras (leitura, busca, navegação) e as regras do usuário. Ao entrar no auto mode, são descartadas as regras que permitem execução arbitrária de código: acesso geral ao shell, interpretadores python, node e ruby com máscaras, e execução via gerenciadores de pacotes.
• Nível 2: edições de arquivos dentro do projeto passam sem o classificador, pois podem ser verificadas pelo sistema de controle de versão.
• Nível 3: todo o resto, de comandos de shell e requisições web até a criação de subagentes e operações fora do diretório do projeto, vai para o classificador.

O classificador avalia o efeito real da ação, e não o texto do comando. Se o agente grava um payload em um arquivo e o executa, é o payload que passa pela verificação. Uma cadeia com && conta como uma única ação. Um script que monta um comando de shell é analisado pelo resultado montado. Tudo o que o agente escolheu por conta própria é tratado como não autorizado, até que o usuário diga o contrário. Um pedido como «limpe os branches» não dá direito a uma exclusão em massa, e a pergunta «podemos consertar isso?» não conta como instrução.

Por padrão, só o repositório git atual é considerado confiável. Há mais de vinte regras de bloqueio, agrupadas em quatro temas: destruição e vazamento de dados, redução da segurança, cruzamento de limites de confiança, e contorno de revisão e impacto sobre terceiros. A lista pode ser consultada com o comando claude auto-mode defaults.

Números e limitações

A Anthropic testou o pipeline em três conjuntos: 10 000 chamadas reais de funcionários, 52 casos reais de iniciativa excessiva e 1 000 tentativas sintéticas de exfiltração de dados, parte delas com ofuscação.

• Etapa 1 (filtro rápido): 8,5% de falsos positivos no tráfego real; 6,6% de ações perigosas não detectadas nos casos reais; 1,8% na exfiltração sintética.
• Pipeline completo (etapa 1 e etapa 2): 0,4% de falsos positivos; 17% de ações perigosas não detectadas nos casos reais; 5,7% na exfiltração sintética.

A segunda etapa elimina os falsos bloqueios, mas ao custo de cobertura: parte das ações perigosas passa. A amostra de 52 casos é pequena, porque exige que o Claude tente fazer algo perigoso em uma sessão ao vivo e que uma pessoa registre o episódio. A análise no texto original se interrompe justamente na discussão desses 17%, mas a Anthropic não esconde o número.

Como usar

O auto mode não substitui o sandbox onde um erro custa caro: em infraestrutura de produção e com segredos reais, o isolamento é mais confiável. Nos demais casos, o modo parece uma substituição razoável para a flag cega de ignorar permissões. Antes de ativá-lo, vale revisar as próprias regras de allow: o modo remove de qualquer forma as regras amplas para interpretadores. Organizações confiáveis do GitHub, buckets de nuvem e APIs internas precisam ser declarados nas configurações. Caso contrário, qualquer envio para fora do repositório será tratado como um possível vazamento. A Anthropic recomenda ajustar os valores padrão, e não escrever a configuração do zero.