Anthropic запустила auto mode в Claude Code: ложные блокировки упали до 0,4%

Пользователи Claude Code подтверждают 93% запросов на разрешения, то есть ручное одобрение давно превратилось в рефлекторное «Approve». Anthropic пытается убрать этот эффект с помощью auto mode. В нём решения принимают модельные классификаторы. На 10 000 реальных вызовов инструментов сотрудников компании полный конвейер блокирует по ошибке всего 0,4% безопасных действий. Но на реально опасных эпизодах он пропускает 17%, и Anthropic прямо говорит об этом в разборе.

Зачем нужен промежуточный режим

Сейчас у пользователя два способа избавиться от лишних подтверждений. Первый — песочница. Она безопасна, но требует настройки под каждую новую возможность, а всё, что нуждается в сети или доступе к хосту, ломает изоляцию. Второй — флаг --dangerously-skip-permissions, который отключает все запросы и не защищает ни от чего. Ручные подтверждения лежат посередине, но из-за усталости от них пользы немного.

Внутренний журнал инцидентов Anthropic показывает, чего именно стоит бояться. Агент удалял удалённые git-ветки из-за неверно понятой команды. Он загружал токен GitHub инженера на внутренний вычислительный кластер. Он пытался запускать миграции на боевой базе. Во всех случаях модель не пыталась навредить, а проявляла излишнюю инициативу. Этот паттерн описан в system card Claude Opus 4.6.

Как устроена защита

Слоёв два. На входе серверный зонд проверяет выводы инструментов (чтение файлов, веб-запросы, вывод шелла, ответы внешних сервисов) до того, как они попадут в контекст агента. Если контент похож на попытку перехватить управление, к нему добавляется предупреждение: считать источник подозрительным и держаться исходной задачи пользователя.

На выходе работает классификатор транскрипта на Sonnet 4.6. Он идёт в два этапа: быстрый однотокенный фильтр «блокировать или нет», затем рассуждение по цепочке мыслей, но только для того, что отметил первый этап. Классификатор видит лишь сообщения пользователя и вызовы инструментов. Реплики и выводы самого Claude вырезаются, поэтому он по замыслу не видит рассуждений агента.

Решения принимаются по трём уровням:

• Уровень 1: встроенный список безопасных инструментов (чтение, поиск, навигация) и пользовательские правила. При входе в auto mode отбрасываются правила, дающие произвольное исполнение кода: общий доступ к шеллу, интерпретаторы python, node, ruby с масками, запуск через пакетные менеджеры.
• Уровень 2: правки файлов внутри проекта проходят без классификатора, их можно проверить через систему контроля версий.
• Уровень 3: всё остальное, от шелл-команд и веб-запросов до порождения субагентов и операций вне каталога проекта, идёт на классификатор.

Классификатор оценивает реальный эффект действия, а не текст команды. Если агент записал payload в файл и запускает его, проверяется payload. Цепочка через && считается одним действием. Скрипт, собирающий шелл-команду, разбирается по собранному результату. Всё, что агент выбрал сам, считается неразрешённым, пока пользователь не скажет иное. Просьба «почисти ветки» не даёт права на массовое удаление, а вопрос «можем это починить?» не считается указанием.

По умолчанию доверенной считается только текущая git-репа. Правил блокировки больше двадцати, они сгруппированы по четырём темам: уничтожение и утечка данных, ухудшение защищённости, пересечение границ доверия, обход ревью и воздействие на других. Список можно посмотреть командой claude auto-mode defaults.

Цифры и ограничения

Anthropic проверила конвейер на трёх наборах: 10 000 реальных вызовов сотрудников, 52 реальных случая излишней инициативы и 1 000 синтетических попыток эксфильтрации данных, часть из них с обфускацией.

• Этап 1 (быстрый фильтр): 8,5% ложных срабатываний на реальном трафике; 6,6% пропусков на реальных опасных действиях; 1,8% на синтетической эксфильтрации.
• Полный конвейер (этап 1 и этап 2): 0,4% ложных срабатываний; 17% пропусков на реальных опасных действиях; 5,7% на синтетической эксфильтрации.

Второй этап чистит ложные блокировки, но ценой полноты: часть опасных действий проходит. Выборка из 52 случаев мала, потому что для неё нужно, чтобы Claude попытался сделать что-то опасное в живой сессии, а человек это зафиксировал. Разбор в исходном тексте обрывается именно на обсуждении этих 17%, но саму цифру Anthropic не скрывает.

Как этим пользоваться

Auto mode не заменяет песочницу там, где ошибка стоит дорого: на продакшен-инфраструктуре и с реальными секретами изоляция надёжнее. В остальных случаях режим выглядит разумной заменой слепому флагу пропуска разрешений. Перед включением стоит проверить собственные allow-правила: широкие правила для интерпретаторов он всё равно снимет. Доверенные организации GitHub, облачные бакеты и внутренние API нужно прописать в настройках. Иначе любая отправка за пределы репы будет считаться потенциальной утечкой. Anthropic советует править базовые значения, а не писать конфигурацию с нуля.