人間が危険なコマンドを見抜けたのは13.6%——Claude Codeが「いちいち聞かない」を既定にする理由

Anthropicが2026年8月7日、コーディング支援ツール「Claude Code」の自動モード(auto mode)を既定の設定にすると発表しました。適用は8月14日から。これまでClaude Codeは、AIがファイルを書き換えたりコマンドを実行したりするたびに、人間が「実行していいか」を承認する仕組みが標準でした。それが、AIの側で危険かどうかを判定して、危ないものだけ止める方式に切り替わります。

発表にはこの変更を正当化する試験データが添えられていて、その中に目を疑うような数字がありました。管理された試験で、人間が危険なコマンドを見抜けた割合は13.6%。同じコマンドを、自動モードの判定システムは89%止めたというのです。

8月14日から変わる既定の動き

まず変更の中身を整理します。8月14日以降、Pro・Max・Teamプランの新規セッションは自動モードで始まります。すでに自分で別の既定を設定している人には、切り替えるかどうかを尋ねる確認が一度だけ表示され、設定を固定(ピン留め)している場合は何も変わりません。Claude Enterprise、Claude API、AWS、Google Cloud、Microsoft Foundry経由の利用は当面オプトイン(自分で有効にする方式)のままですが、Anthropicは1か月以内にこれらも既定にする計画だとしています。

自動モードでは、AIが実行しようとする操作の一つひとつを、分類器(クラシファイア)と呼ばれる別の判定システムがチェックします。止める対象は「取り消せない、破壊的、あるいは自分の環境の外に向かう」操作。ブロックされるとClaudeはより安全な別の方法を探すか、ユーザーに直接確認を求めます。3回連続で止められるか、1セッションで通算20回止められると、従来の手動承認方式に戻る設計です。この分類器は動作のたびに少量のトークンを余分に消費しますが、発表当日から該当プランでは課金対象外になっています。

「毎回聞く」か「全部任せる」かの二択だったこれまで

Claude Codeの標準設定は、これまで意図的に保守的に作られていました。ファイルへの書き込みもシェルコマンドの実行も、逐一人間の承認が必要。安全ではあるものの、大きなタスクを任せて席を離れる、という使い方ができません。その対極にあったのが –dangerously-skip-permissions というフラグで、名前のとおり一切の確認を省略します。速いけれど、AIが誤って破壊的な操作をしても止める仕組みがない。

自動モードは、この両極端の間を埋めるものとして今年3月に試験版が登場し、7月に正式提供が始まりました。今回の変更は、その「中間の道」を標準にするという判断です。

ここで当然の疑問が湧きます。人間の確認を外して、本当に大丈夫なのか。Anthropicの答えは「大丈夫、むしろ人間の確認のほうが機能していなかった」というものでした。

人間が見抜けたのは13.6%という試験結果

Anthropicは有料の被験者1,053人を集め、テスト用の環境でコーディング作業をしてもらう対照試験を行いました。被験者は評価されていることは知っていましたが、何を測られているかは知らされていません。セッションの途中で、承認プロンプト1件の文面だけが、明らかに危険なコマンドにこっそり差し替えられます(承認しても実際には何も実行されない設計です)。

結果、危険なコマンドに気づいて止めた被験者は1,053人中143人、13.6%でした。一方、同じコマンドを自動モードの分類器にかけると89%(937件)を止めました。直接比較すると、機械が止めて人間が通してしまったものが800件、人間が止めて機械が通してしまったものは6件。しかもセッションが長引くほど人間の成績は悪化し、序盤は約17%だった検出率が、50回以上プロンプトに答えたあとでは約5%まで落ちました。分類器の阻止率はセッションの長さに関係なく一定だったといいます。

この結果を裏付ける実態の数字も出ています。Claude Codeのユーザーは、表示された承認プロンプトの97%をそのまま承認しているそうです。比較として、Claudeが作業計画を提示して承認を求める場面では39%が却下されるのに対し、個別の実行許可の却下率はわずか3%。つまり「人間による確認」は、実態としては内容を読まずにクリックする作業になっている——というのがAnthropicの主張です。ここまで来ると、安全装置だと思われていた承認ボタンのほうが先に形骸化していた、という話になります。

第三者による検証も報告されています。英国のAI安全企業Apollo Researchが合成攻撃を使ったレッドチーム演習を行い、その結果をもとに分類器を強化したところ、見逃し率は12%から7%に下がったとのこと。また別の第三者機関Trajectory Labsによるプロンプトインジェクション(外部から紛れ込ませた指示でAIを乗っ取る攻撃)の評価では、72シナリオ×各10回の計720回の攻撃試行が、自動モードを有効にしたClaudeの各モデルに対して1件も成功しなかったと報告されています。ただしこの評価は検証用のブラウザ連携ツールを使ったモデル単体の測定で、公式のブラウザ拡張に組み込まれた安全機構込みの数字ではない、という但し書きが付いています。

それでも残る11%と、確認すべきこと

ここまでの数字には、注意しておくべき点があります。これらはすべてAnthropic自身の発表に基づくもので、同じ条件で外部が独立に再現した結果ではありません。第三者機関の名前は出てきますが、いずれもAnthropicが依頼した評価です。「13.6%対89%」も、この試験の条件下での値であって、あらゆる状況に当てはまる一般論ではありません。

そして89%という数字は、裏を返せば11%は通ってしまうということでもあります。Apollo Researchの演習後でも見逃し率は7%残っています(これは意図的に分類器の穴を突くよう設計された合成攻撃に対する値で、実際の利用での見逃し率ではない、とAnthropicは補足しています)。Anthropic自身も発表の末尾で、分類器に頼る以上リスクはゼロにならないとして、本番インフラに関わる重要な変更については引き続き人間が内容を確認することを推奨しています。自動モードを推す発表の中でこう書かざるを得ないところに、この問題の難しさが表れています。

Claude Codeを使っている人にとっての実務的な影響は明確です。8月14日以降、新しいセッションは何もしなければ自動モードで始まります。従来の方式を続けたい場合は、CLIならShift+Tabでモードを切り替えられるほか、既定のモードを設定で固定することもできます。組織で使っている場合は、管理者が組織全体の既定を指定したり、自動モードそのものを無効化したりする設定も用意されています。

「人間が確認しているから安全」という前提は、少なくともAnthropicの試験条件下では成り立っていませんでした。とはいえ、機械の判定に任せた場合の11%の見逃しをどう考えるかは、扱うコードの重要度によって答えが変わるはずです。既定が変わる前に、自分の使い方ではどちらが合っているのか、一度考えておく価値はありそうです。