Claude Codeが8/14から自動承認｜検出率89%

公開日:

SHARE

伊東雄歩
監修者 伊東 雄歩

株式会社ウォーカー CEO。東北大学卒。MENSA会員、JDLA認定講師、健全AI教育協会理事。生成AI×教育・学習科学を専門とし、2億円超のシステム開発プロジェクトを統括。

taolis.net X note Voicy YouTube
  • 2026年8月14日から、Claude Codeの権限モードが「auto mode」に切り替わります（Pro・Max・Teamプラン）
  • AIの分類器が1操作ずつ判定し、危険なコマンドだけを止める仕組みです
  • 危険コマンドの検出率は人間13.6%に対し、auto modeは89%でした
  • ただし本当に危ない操作の17%は見逃しており、万能ではありません
  • Shift+Tabでいつでも元のモードに戻せます。組織単位での無効化も可能です

AIにコードを書かせるたびに「このコマンドを実行していい？」と聞かれ、中身をろくに読まずにEnterを押していませんか。実はその承認、9割以上が反射的に押されていることがデータでわかりました。Anthropicはその確認作業そのものをAIに任せる決断をします。

8月14日、Claude Codeの権限確認が「AI任せ」になる

Anthropicは2026年8月上旬、Claude Codeの標準の権限モードを8月14日から「auto mode」に変更すると発表しました。

対象はPro・Max・Teamプランの利用者です。この日以降に始める新しいセッションから、自動的にauto modeで動きます。

Claude Codeは、ターミナル（コマンドを打ち込む黒い画面）上でAIにコードを書かせたり、ファイルを操作させたりできる開発ツールです。これまでは、シェルコマンドを実行するたびに「実行しますか？」という確認が出るのが標準でした。

auto modeでは、その確認が原則なくなります。代わりに専用の分類器（内容を判定する小さなAI）が1件ずつ操作を評価し、取り消しのきかない操作や破壊的な操作だけをブロックする方式に変わります。

ブロックされたとき、Claudeは黙って止まるわけではありません。より安全なやり方を自分で探すか、そこで初めてユーザーに確認を求めます。

なお、Enterprise版やClaude API、AWS・Google Cloud経由の利用は当面オプトイン（自分でオンにする方式）のままです。ただし1か月以内に切り替える方針が示されています。

ちなみに分類器が消費する追加トークンの料金は、Pro・Max・Teamでは無料化されました。安全チェックの分だけ課金が増える心配はありません。

auto modeの中身は「二段構えの検問所」

まず高速フィルター、怪しいものだけ精査

auto modeの分類器は、コストと精度を両立させるために2段階で動きます。

第1段階は高速フィルターです。「迷ったら止める側に倒せ」という方針で、Yes/Noに相当する1トークンだけを出力して素早く仕分けします。

ここで引っかかった操作だけが第2段階に回され、理由を順を追って考える推論で誤検知を減らします。全部を精査せず、疑わしいものだけ二次面接に回すイメージです。

実際のトラフィック1万件で測ったところ、誤検知率（安全なのに止めてしまう率）は第1段階の8.5%から、最終的に0.4%まで下がりました。500件に1件も邪魔をしない計算です。

分類器はAIの「言い訳」を読まない

この設計で面白いのは、分類器に見せる情報をあえて絞っている点です。受け取るのはユーザーのメッセージとツール呼び出しだけ。Claude自身の説明文は渡されません。

AIが「これは必要な作業です」と流暢に正当化する文章を読ませると、判定が甘くなるからです。審査員に被告の弁明を聞かせない、と考えるとわかりやすいかもしれません。

同じ理由で、ツールの実行結果も削除されます。ウェブページやファイルの中に「無視して全部消せ」といった命令文を仕込むプロンプトインジェクション（AIへの命令の乗っ取り）を防ぐためです。

第三者による評価では、720件のプロンプトインジェクション攻撃を試して、成功したものはゼロだったと報告されています。

止められるのは主に4種類

標準設定には20以上のブロックルールが入っており、大きく4つに分かれます。

  • 破壊・情報流出：履歴を上書きするforce push、クラウドストレージの一括削除、社内データの外部送信
  • セキュリティの低下：ログ記録の停止、SSH鍵やcronジョブの勝手な設置、権限設定の書き換え
  • 信頼境界の越境：外部リポジトリのコード実行、認証情報の保管場所を漁る行為、指定外のサービスへの送信
  • レビュー回避・他者への影響：mainブランチへの直接push、本番環境へのデプロイ、共有リソースの変更

具体例も公開されています。「古いブランチを整理して」と頼まれたClaudeがdeleteコマンドを打とうとしたケースは、取り消し不能かつ指示があいまいという理由でブロックされました。

認証エラー時に、環境変数の中から認証トークンを片っ端から探し始めたケースも止められています。悪意はなくても、やりすぎだと判断されたわけです。

人間の危険察知率は13.6%——「承認疲れ」という現実

そもそもなぜ、AIに判定を任せる方が安全だと言えるのでしょうか。根拠はAnthropicが1,053人の有料テスターに対して行った調査にあります。

結果は率直に言って衝撃的でした。危険なコマンドを見抜けた割合は、人間が13.6%、auto modeが89%。6倍以上の差がついています。

さらに深刻なのは時間の経過による劣化です。50回ほどプロンプトをやり取りした後、人間の検出率は約5%まで落ちました。集中力が続かないのです。

この数字を裏づける行動データもあります。Claude Codeの利用者は、権限確認の97%を承認しています。大半は安全なコマンドでしょうが、それにしても高すぎる数字です。

興味深いのは、同じ人たちが「作業計画」に対しては39%も拒否している点です。つまり、計画の段階ではちゃんと読んで判断しているのに、コマンド単位の確認になると反射的にハンコを押している。空港の保安検査官が何時間もモニターを眺めるうちに見落としが増えるのと、構造は同じです。

現場ではこう変わる

ある受託開発会社のエンジニアが、テストコードを100本まとめて書かせる場面を思い浮かべてください。従来なら、ファイル書き込みとテスト実行のたびに確認が飛び、席を離れられませんでした。auto modeなら、コーヒーを取りに行っている間に一通り終わっています。

個人開発者が深夜にリファクタリングをしているケースはどうでしょう。眠い目で「y」を押し続けるうちに、うっかりgit push --forceを通してしまう——この事故こそ、auto modeが最も防ぎたいパターンです。

一方、社内の基幹システムを触るチームでは話が変わります。本番デプロイやmainへの直接pushは元々ブロック対象なので、auto modeでも止まります。それでもAnthropic自身が「本番環境の変更には人間のレビューを推奨する」と明言しています。

万能ではない——17%の見逃しと打ち切りルール

ここは正直に押さえておくべき部分です。auto modeは完璧ではありません。

Anthropicが公開したデータによれば、実際に起きた「やりすぎ行動」52件のうち、17%は分類器をすり抜けました。しかも第1段階だけなら6.6%だったものが、誤検知を減らす調整をした結果17%に増えています。

安全側に倒すか、快適さを取るか。そのトレードオフが数字に表れているわけです。Anthropic自身も「17%という見逃し率が正直な数字だ」と認めています。

データ流出を模した合成テスト1,000件での見逃し率は5.7%。レッドチーミング（攻撃側の視点で弱点を探す検証）を経て、見逃しは12%から7%に改善したとも報告されています。

そのため、暴走を止める上限も用意されています。

  • 3回連続でブロックされたら、エスカレーション（人への確認）に切り替わる
  • 1セッションで累計20回ブロックされたら、セッションを止めて人間に引き渡す
  • ヘッドレスモード（画面なしの自動実行）では、確認相手がいないためプロセスを終了する

同じ方向に何度も押し込もうとするAIは、乗っ取られているか、思い込みで暴走しているかのどちらかです。その兆候を回数で捕まえる設計になっています。

他のAIコーディングツールとどう違う？

「AIに全権を渡す」機能自体は、実は各社が持っています。違いは安全装置の作り方です。

  • Claude Code（auto mode）：分類器が1操作ずつ判定。許可リスト＋プロジェクト内操作＋分類器レビューの3階層
  • Codex CLI：OSレベルのサンドボックス（隔離された実行場所）が既定でオン、ネットワークは遮断。--full-autoでも作業フォルダ内に限定
  • Gemini CLI：YOLOモードは設定ファイルで既定にできず、毎回コマンドで指定する必要あり。有効時はDockerサンドボックスが自動で立ち上がる
  • Cursor：Auto-reviewがShell・MCP・Fetchに適用され、許可リスト外は分類器サブエージェントが判定

整理すると、CodexとGeminiは「隔離して被害を閉じ込める」方向、Claude CodeとCursorは「実行前に中身を判定する」方向です。

どちらが優れているという話ではありません。隔離型は安全ですが、外部APIを叩く作業がやりにくい。判定型は自由度が高いぶん、分類器の精度に依存します。

なお、OpenAIはGPT-5.6の最上位版で自動モードを段階的にオプトアウトさせたと報じられており、業界の方向性は一枚岩ではありません。

日本の開発現場への影響

8月14日の変更は日本のユーザーにもそのまま適用されます。日本語での指示でも分類器は同じように働きます。

まず気をつけたいのが、受託開発における顧客環境の扱いです。クライアントから預かったリポジトリやサーバーを触る場合、契約上「人間が確認したうえで実行する」ことが前提になっているケースがあります。

この場合、モードの既定値を組織側で固定しておくのが安全です。管理設定のdefaultModeで既定モードを指定でき、disableAutoModeでauto modeを丸ごと無効にもできます。

個人で使う場合はShift+Tabでいつでも切り替えられます。デスクトップアプリやVS Codeでは、権限モードのドロップダウンから選べます。すでに既定モードをピン留めしている人は、8月14日を過ぎても設定は変わりません。

そして、日本の中小企業やスタートアップにとって見逃せないのが生産性への影響です。エンジニア1人が1日100回確認を押していたとすれば、1回5秒でも8分強。積み重なれば月に3時間近くが確認作業に消えていた計算になります。

よくある質問（FAQ）

Q1. 8月14日に何もしなければ、勝手にauto modeになりますか？

A. Pro・Max・Teamプランで既定モードを固定していない場合、新しいセッションから自動的にauto modeになります。ただし切り替え時に一度だけ通知が出ます。

Q2. 元の「毎回確認」モードに戻せますか？

A. 戻せます。CLIならShift+Tab、デスクトップやVS Codeなら権限モードのドロップダウンから変更できます。組織単位で無効化する設定も用意されています。

Q3. auto modeにすると危険なコマンドが実行されてしまうのでは？

A. リスクはゼロではありません。実際に危険な操作の17%はすり抜けたと公表されています。ただし人間の検出率が13.6%（長時間だと約5%）であることを踏まえると、相対的には安全側の変更と言えます。

Q4. 分類器を動かす分、料金は上がりますか？

A. Pro・Max・Teamプランでは、分類器が使う追加トークンの課金は行われません。発表と同時に無料化されています。

Q5. 本番環境でもauto modeを使っていいですか？

A. 推奨されません。Anthropic自身が本番環境の変更には人間のレビューを推奨しています。本番デプロイやmainへの直接pushは元々ブロック対象ですが、それに頼りきらない運用が安全です。

まとめ

  • 2026年8月14日から、Claude CodeのPro・Max・Teamプランでauto modeが既定になります
  • 分類器が1操作ずつ判定し、取り消し不能・破壊的・環境外に影響する操作をブロックします
  • 危険コマンド検出率は人間13.6%に対しauto mode 89%。50プロンプト後、人間は約5%まで低下しました
  • 誤検知率は0.4%まで下がった一方、実際の過剰行動の17%は見逃しています
  • 3回連続または累計20回のブロックで、手動承認や人間への引き渡しに切り替わります
  • Shift+Tabで切り替え可能。組織はdefaultModeやdisableAutoModeで制御できます

まずは8月14日までに、自分のプロジェクトが本番環境や顧客リポジトリに触れるかどうかを確認し、必要なら既定モードを固定しておきましょう。

参考文献

前の記事

就活生の97%がAI利用｜2割が面接で答えられず