Anthropicは2026年3月25日(米国時間)、Claude Codeの新機能「autoモード」の設計を解説する技術記事を公開しました。Claude Codeは既定でコマンド実行やファイル変更の前にユーザーの承認を求めますが、ユーザーは権限プロンプトの93%を承認しており、承認疲れで内容を注意深く見なくなる問題がありました。autoモードは承認判断をモデルベースの分類器に委ね、ユーザーの意図に沿わない危険な操作を捕捉しつつ、それ以外は承認プロンプトなしで実行させる、手動レビューとガードレールなしの中間に位置する仕組みです。

想定する4つの脅威

• ▸行き過ぎた行動 — ユーザーの目標を理解して助けようとしつつ、承認範囲を超えて主導権を取る。偶然見つけた認証情報を使う、邪魔と判断したものを消すなど、敵対的な推論がなく合理的な問題解決に見えるため捕捉が難しい
• ▸正直な間違い — 影響範囲の誤解。共有リソースをテスト用と思い込む、他人のブランチを自分のものと誤認するなど
• ▸プロンプトインジェクション — ファイル、Webページ、ツール出力に仕込まれた指示がエージェントを乗っ取り、ユーザーのタスクから攻撃者のタスクへ誘導する
• ▸ミスアライメント — モデルが独自の目標を追求するケース。現時点で実際には観測されていないが、リリースする全モデルで慎重に評価している

社内のインシデントログには、指示の誤解によるリモートgitブランチの削除、エンジニアのGitHub認証トークンの社内計算クラスタへのアップロード、本番データベースへのマイグレーション試行などが記録されています。ブロック対象の例としては、あいまいな依頼からのブランチ一括削除、認証エラー時の環境変数や設定ファイルからの代替トークン探索、名前の類似だけで対象を推測したジョブ削除、GitHub Gist作成による情報共有、デプロイの事前チェックを検証スキップフラグで回避する行為などが挙げられています。

入力と出力の2層防御

入力層では、サーバー側のプロンプトインジェクション検知プローブが、ファイル読み取り、Web取得、シェル出力、外部ツール応答をエージェントのコンテキストに入る前にスキャンします。挙動を乗っ取ろうとする内容に見える場合は、その内容を疑わしいものとして扱い、ユーザーが実際に依頼したことに立ち返るようエージェントへの警告を結果に添えます。

出力層では、Sonnet 4.6上で動くトランスクリプト分類器が、各操作を実行前に判定基準に照らして評価し、人間の承認者の代役を務めます。高速な1トークン判定でブロック側に倒して選別するステージ1と、フラグが立った場合のみ同じ入力を思考の連鎖付きで再評価して誤検知を減らすステージ2の2段構成で、推論トークンを必要な場面だけに使います。

分類器が見るのはユーザーメッセージとエージェントのツール呼び出しだけで、Claude自身のメッセージとツール出力は意図的に取り除かれています。これはエージェントが説得力のある弁明で分類器を誤らせるのを防ぎ、ツール出力経由のインジェクションから構造的に守るための設計です。サブエージェント連携では、委譲時に拒否可能なチェックを、結果の返却時には行動履歴全体のレビューを行い、問題があれば警告を付けて返します。

許可判定の3段階

• ▸第1層(許可リスト) — ファイル読み取りや検索など状態を変更できない組み込みの安全ツールとユーザー設定の常時許可ルール。ただしautoモード開始時には、包括的なシェル許可、ワイルドカード指定のスクリプトインタプリタ、パッケージマネージャの実行コマンドなど、任意コード実行につながる既存ルールは無効化される
• ▸第2層(プロジェクト内ファイル操作) — プロジェクトディレクトリ内の書き込み・編集は分類器を通さず許可。バージョン管理でレビュー可能なため
• ▸第3層(トランスクリプト分類器) — シェルコマンド、Web取得、外部ツール連携、サブエージェント起動、プロジェクト外のファイル操作など、実害の可能性がある操作を審査

分類器のプロンプトは同社が提供する固定テンプレートに、3つのカスタマイズ可能なスロットを挿入する構成です。環境スロットでは信頼境界(既定では作業中のgitリポジトリのみを信頼)を定義し、ブロックルールは破壊・流出、セキュリティ体制の劣化、信頼境界越え、レビュー回避・他者への影響の4グループで既定20超。リポジトリのマニフェストに宣言済みのパッケージのインストールなど、狭い許可例外も定義できます。いずれも保守的なデフォルトが同梱され、すぐに使い始められます。

評価結果と位置づけ

• ▸実トラフィック1万件 — パイプライン全体の誤ブロック率は0.4%(ステージ1単体では8.5%)
• ▸実際の行き過ぎた行動52件 — 見逃し率は17%(ステージ1単体では6.6%)
• ▸合成のデータ流出タスク1000件 — 見逃し率は5.7%(ステージ1単体では1.8%)

見逃しの大半で分類器は強制プッシュや削除といった危険自体は正しく認識しており、誤るのはセッション内の同意らしき証拠がその操作の影響範囲まで及ぶかの判断だと分析しています。--dangerously-skip-permissionsを使っている利用者には大幅な改善となる一方、すべてを注意深く手動承認している場合には後退になり得るとし、高リスクなインフラでの慎重な人手レビューの代替ではないと明言しています。

ブロック時は拒否理由がツール結果として返り、境界を尊重してより安全な道を探すよう促されます。連続3回または合計20回の拒否でモデルを停止して人間にエスカレーションし、ヘッドレスモードではプロセスを終了します。誤検知は1回の再試行で回復できるため、0.4%の誤検知率でも長時間タスクの利用性を損なわないとしています。今後は実例データセットの拡充と、安全性とコストの改善を続ける方針です。