Claude Code自動承認化とは｜人間より安全という根拠

AIコーディングツールが「人間の許可を取らずに動く」と聞くと、多くの人はまず危険を連想するだろう。ファイルを勝手に消したり、意図しないコマンドを実行したりするのではないか、という不安だ。ところがAnthropicが今回示したデータは、その直感とは逆の結果だった。人間が一つひとつ確認する従来のやり方より、AIによる自動判定のほうが危険な操作を多く検出できていたというのである。この「人間の目を通す方が安全」という思い込みは、なぜ崩れたのか。Claude Codeの新しい既定機能「Auto Mode」の仕組みと根拠を整理する。

Auto Modeとは何か、従来の許可プロンプトと何が違うのか
「89%対13.6%」という数字はどこから来たのか
1. 1,053人の有料テスターが示した結果
2. 許可プロンプトの97%は「反射的な承認」だった
いつから何が変わるのか、対象範囲を整理する
1. Pro・Max・Teamは8月14日から自動切り替え
2. Enterprise・API・クラウド各社は当面「任意」のまま
手放しで安全と言えるのか、残る懸念点
1. テスト環境はあくまで「合成」だったという限界
2. プロンプトインジェクションという別の脅威
独自の視点｜解こうとしているのは「AIの精度」ではなく「人間の摩耗」
独自の視点｜次の論点は精度ではなく「見逃した11%の責任の所在」
よくある質問
参考・出典
関連記事

Auto Modeとは何か、従来の許可プロンプトと何が違うのか

Claude Codeはこれまで、ファイル削除やコマンド実行など踏み込んだ操作をするたびに、ユーザーに許可を求めるプロンプトを表示してきた。Auto Modeはこの仕組みを置き換え、AnthropicはAuto Modeを「ツール呼び出しのたびに専用の分類器が内容を判定し、”取り消し不可・破壊的・作業環境の外に影響する”と判断された操作だけを止める」機能と説明している。それ以外の操作は、ユーザーへの確認なしにそのまま実行される。

Anthropicは2026年3月にテスト版を公開しており、今回はそれを踏まえた本格展開にあたる。Claude Code責任者のBoris Cherny氏は、開発チーム自身が数ヶ月にわたりAuto Modeを使い続けており、従来の逐一確認する方式には戻れないと述べたという(TechCrunch)。

「89%対13.6%」という数字はどこから来たのか

1,053人の有料テスターが示した結果

Anthropicが公式ブログで公開した検証では、有料プランのテスター1,053人に危険なコマンドを含む環境で作業してもらい、人間による手動レビューとAuto Modeそれぞれの検出率を比較した。結果は、人間の手動レビューが有害な操作の13.6%しか検出できなかったのに対し、Auto Modeは89%を検出してブロックしたという。裏を返せば、Auto Modeも1,053件中116件、割合にして約11%の危険なコマンドを見逃しており、完全ではない(techi.com)。

許可プロンプトの97%は「反射的な承認」だった

なぜ人間の判定はここまで甘くなるのか。Anthropicの分析によれば、ユーザーはClaude Codeの許可プロンプトの97%を承認しており、セッションが進むにつれて警戒心が下がる傾向が確認されたという。検出率はセッション開始直後で17%程度だったが、50回ほどプロンプトを承認した後には5%まで下がったとされる。人間は「毎回内容を読んで判断している」つもりでも、実際には作業のリズムに乗って機械的にクリックしてしまう、という指摘だ。

さらに実運用データの分析では、意図しない有害な操作が発生したセッションの割合は、手動承認方式で6.3%だったのに対し、Auto Modeでは2.4%に下がったとAnthropicは報告している。

いつから何が変わるのか、対象範囲を整理する

Pro・Max・Teamは8月14日から自動切り替え

Anthropicの発表によると、Claude CodeのPro・Max・Teamプランでは2026年8月14日から新規セッションがAuto Mode既定で開始される。すでに手動で別の設定にしていたユーザーには、切り替えを促す通知が一度だけ表示される仕組みだ。あわせて、分類器の判定にかかる追加トークン分の課金も、Pro・Max・Teamユーザー向けには廃止されるという。

Enterprise・API・クラウド各社は当面「任意」のまま

一方でClaude Enterprise、Claude API、Anthropic Platform、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundry上のClaude Codeでは、Auto Modeは引き続きオプトイン(任意設定)にとどまる。企業の管理者が組織のポリシーに合わせて評価する時間を確保するためで、Anthropicはここから1ヶ月ほどかけて、これらのプラットフォームでも既定化を進める方針を示している。

手放しで安全と言えるのか、残る懸念点

テスト環境はあくまで「合成」だったという限界

前述の1,053人テストは、あらかじめ危険なコマンドが仕込まれた合成環境で行われたもので、参加者自身も「検証に協力している」と認識した状態での結果だ。実際の開発現場のように、危険な操作が予告なく紛れ込む複雑な状況での性能を完全に保証するものではない、という指摘がある(techi.com)。

プロンプトインジェクションという別の脅威

Auto Modeはユーザーが直接入力した指示だけでなく、ファイルやウェブページ、外部ツールの実行結果を経由して紛れ込む「プロンプトインジェクション」への耐性も課題になる。Anthropicは720件の攻撃パターンを使った評価で、Auto Mode下のClaudeに対する攻撃の成功率が0%だったとしているが、分類器による防御は確率的なものであり、絶対に破られないという保証ではない。自動化された仕組みは、一度の見逃しが本番環境全体への影響につながりうる点で、失敗の重みが手動確認とは異なるという見方もできる。

数字だけを見れば、平均的な人間の確認作業よりAuto Modeのほうが精度が高いというAnthropicの主張には一定の根拠がある。ただし「平均的な人間の確認」自体が形骸化していたという事実は、AIの優秀さの証明であると同時に、ツールを運用する側の慣れや油断への警鐘でもある。Auto Modeを使う場合でも、任意設定のまま残された領域があることや、プロンプトインジェクションのリスクが消えたわけではないことは押さえておきたい。

独自の視点｜解こうとしているのは「AIの精度」ではなく「人間の摩耗」

ここまでの数字を筆者なりにつなげると、別の輪郭が見えてくる。検出率がセッション開始直後の17%から50回承認後に5%まで落ちるという劣化曲線と、実運用での有害操作の発生率が6.3%から2.4%へ下がったという結果を重ねると、今回対処されているのはAIの判定精度の問題ではなく、人間の注意力が作業時間とともに摩耗する問題ではないかと考えられる。だとすれば、既定化と追加トークン課金の廃止が同時に打たれたことにも筋が通る。任意設定では元々慎重な層しか使わず、費用がかかれば安全機能は真っ先に切られるからだ。

もしこの読みが正しければ、安全機構を有料オプションから既定インフラ側へ寄せる設計は他社にも波及するのではないかと予想する。

独自の視点｜次の論点は精度ではなく「見逃した11%の責任の所在」

もう一つ引っかかるのが、プランごとの扱いの差だ。Pro・Max・Teamが8月14日から既定化される一方、Enterprise・API・クラウド各社経由は当面オプトインにとどまる。この差は技術的な準備というより、事故時の責任分界の問題ではないかと筆者は見ている。約11%の見逃しが公表されている以上、企業契約ではブロックされなかった操作の扱いを事前に決めておく必要が出てくる。今後の焦点は分類器の精度より、判定根拠を後から追える監査ログや管理機能の整備へ移ると予想する。外れた場合でも、安全の既定値をベンダー側が握る構図は残るだろう。今後の展開次第で状況は変わりうる。