Dal 14 agosto, le nuove sessioni di Claude Code avviate con gli abbonamenti Pro, Max e Team useranno automaticamente Auto mode. La modalità sostituisce buona parte delle richieste di autorizzazione mostrate durante il lavoro con un classificatore incaricato di valutare ogni operazione prima che venga eseguita.
La novità riguarda l’impostazione iniziale delle nuove sessioni. Chi ha già fissato manualmente una diversa modalità predefinita non vedrà alcun cambiamento, mentre alcuni utenti che hanno modificato l’impostazione senza bloccarla potrebbero ricevere una richiesta una tantum per passare ad Auto mode.
Anthropic ha inoltre deciso di non addebitare agli utenti Pro, Max e Team i token aggiuntivi consumati dal classificatore. Per Claude Enterprise, Claude API, Amazon Bedrock, Google Cloud Agent Platform e Microsoft Foundry, invece, Auto mode rimane temporaneamente facoltativa. L’azienda prevede di renderla predefinita anche su queste piattaforme nel corso del mese successivo.
Un classificatore al posto delle continue conferme
Claude Code può leggere e modificare file, eseguire comandi, utilizzare strumenti esterni e interagire con repository o servizi cloud. Nel tradizionale sistema di autorizzazioni, molte di queste operazioni devono essere approvate singolarmente dall’utente.
Auto mode cerca di ridurre queste interruzioni senza eliminare completamente i controlli. Ogni chiamata a uno strumento viene esaminata da un classificatore, configurato per bloccare soprattutto le azioni irreversibili, distruttive oppure dirette verso risorse esterne all’ambiente di lavoro.
Se un’azione viene fermata, Claude può cercare autonomamente una strada più sicura oppure chiedere una conferma esplicita. Dopo tre blocchi consecutivi o venti nell’arco della stessa sessione, Claude Code torna alle approvazioni manuali.
Le normali regole di autorizzazione continuano a essere valutate prima del classificatore. Fanno eccezione le regole tanto ampie da consentire l’esecuzione arbitraria di codice, come quelle che autorizzano indistintamente tutti gli script Python o Node.js: in Auto mode queste scorciatoie vengono accantonate, perché permetterebbero ai comandi di evitare il controllo.
Auto mode rimane distinto dalla modalità bypassPermissions, che salta quasi tutte le richieste di autorizzazione ed è indicata soltanto per ambienti isolati. Autorizzazioni e sandbox costituiscono livelli di protezione complementari: il classificatore decide se un’azione è coerente con la richiesta, mentre la sandbox applica limiti tecnici a file system e rete.
Gli utenti approvano il 97% delle richieste
Il cambiamento nasce anche da un problema di assuefazione. Secondo i dati raccolti da Anthropic, gli utenti di Claude Code approvano il 97% delle richieste di autorizzazione. Il tasso di rifiuto scende quindi al 3%, mentre il 39% dei piani proposti dall’assistente viene respinto. La differenza indica una maggiore attenzione alle decisioni complessive rispetto ai singoli comandi mostrati ripetutamente durante il lavoro.
A giugno 2026, il 49,5% degli utenti attivi della versione da terminale aveva creato almeno una regola permanente per autorizzare i comandi della shell. Il 5% permetteva qualsiasi comando, mentre un altro 43% utilizzava regole estese per interpreti come Python o Node.js, che possono produrre un risultato equivalente.
Il 62% aveva inoltre usato bypassPermissions oppure selezionato l’opzione per non ricevere più richieste sui comandi Bash. Un quarto delle sessioni interattive iniziava direttamente senza le normali verifiche dei permessi.
Auto mode ha fermato l’89% dei comandi pericolosi
In uno studio controllato con 1.053 professionisti retribuiti, i ricercatori hanno sostituito una normale richiesta di autorizzazione con un comando chiaramente pericoloso. L’operazione non veniva realmente eseguita: cambiava soltanto il testo mostrato al partecipante.
Gli utenti hanno fermato 143 comandi su 1.053, pari al 13,6%. Auto mode ne ha bloccati 937, cioè l’89%. Nel confronto diretto, il classificatore ha respinto 800 operazioni approvate dalle persone, mentre gli utenti hanno bloccato soltanto sei comandi accettati dal sistema automatico.
La capacità di controllo umana è inoltre diminuita con la durata delle sessioni: dal 17% circa nelle fasi iniziali al 5% dopo almeno cinquanta richieste precedenti. Il tasso di blocco di Auto mode è invece rimasto stabile.
Un’analisi separata ha esaminato sessioni di produzione segnalate dai sistemi di sicurezza e provenienti da account che avevano autorizzato l’uso dei dati. Tra queste, il 6,3% delle sessioni con approvazione manuale conteneva un’azione grave non richiesta esplicitamente dall’utente, contro il 2,4% delle sessioni in Auto mode.
Il confronto con Codex
Trajectory Labs ha valutato 72 scenari di prompt injection indiretta, ripetuti dieci volte ciascuno. Nessuno dei 720 tentativi ha avuto successo contro Claude Fable 5, Opus 5 o Sonnet 5 eseguiti in Auto mode.
Nello stesso test, GPT-5.6 Sol in Codex con Auto-review ha registrato un tasso di successo degli attacchi del 5,83%, salito al 19,03% in Full Access.
I ricercatori hanno utilizzato per entrambi i prodotti un’integrazione del browser realizzata da Trajectory Labs. La prova non comprendeva quindi le protezioni delle integrazioni ufficiali per il browser offerte da OpenAI e Anthropic. I test hanno impiegato le versioni disponibili il 17 luglio 2026; OpenAI ha aggiornato Auto-review dopo quella data. I risultati descrivono pertanto le configurazioni sottoposte alla prova, non le versioni successive o l’intero insieme delle protezioni dei due prodotti.
Un secondo lavoro di red teaming, svolto con Apollo Research, ha sottoposto Auto mode ad attacchi sintetici progettati per individuarne i punti deboli. Dopo una fase di rafforzamento del classificatore, il tasso di minacce non rilevate è sceso dal 12% al 7%. Il dato riguarda questo insieme di attacchi costruiti appositamente e non rappresenta il tasso di errore sul traffico reale.
Controlli contro esfiltrazione e prompt injection
Anthropic ha aggiunto ad Auto mode alcune regole che non possono essere superate dal classificatore. Le operazioni di esfiltrazione, come l’invio di codice o credenziali verso una destinazione esterna, possono essere configurate come “hard deny”: per eseguirle è necessario cambiare modalità oppure intervenire manualmente.
Il sistema riceve anche informazioni sulla destinazione di push e pull request, così da distinguere un repository privato e autorizzato da uno pubblico o sconosciuto. Prima di operazioni Git distruttive può controllare lo stato del repository per individuare modifiche non salvate.
Quando Claude acquisisce contenuti da pagine web, file o risultati restituiti dagli strumenti, un controllo lato API cerca possibili istruzioni malevole inserite per dirottare l’agente.
Anthropic cita tre episodi nei quali Auto mode ha impedito operazioni rischiose nei propri sistemi. In un caso, dopo il fallimento del caricamento su un servizio interno, Claude ha tentato di pubblicare un rapporto su un sito pubblico per la condivisione del codice. In un altro ha provato a terminare processi su circa duemila pod, con la conseguente eliminazione di centinaia di GPU impegnate nell’addestramento. Nel terzo stava per assegnare privilegi amministrativi completi a una richiesta che prevedeva soltanto l’accesso in lettura ai dati di fatturazione.
Il 25% di pull request in più
Tra gli utenti Team ed Enterprise che hanno adottato Auto mode, Anthropic ha rilevato circa il 25% di pull request in più. Adobe, Nuro, Gusto e Garner Health usano già la modalità come impostazione predefinita in alcuni flussi di sviluppo, compresi agenti lasciati al lavoro durante la notte.
Adobe la utilizza in un processo che crea e verifica pagine commerciali destinate a oltre 90 Paesi e 30 lingue. Nuro esegue agenti di ricerca notturni che lavorano sulle metriche di valutazione e preparano pull request da esaminare al mattino. Garner Health ha invece esteso Auto mode a tutti i suoi 550 dipendenti attraverso le impostazioni gestite.
Gli utenti possono cambiare modalità premendo Shift+Tab nella versione da terminale oppure attraverso il menu nell’app desktop. Gli amministratori possono fissare una configurazione comune tramite defaultMode o disabilitare completamente la funzione con disableAutoMode.
La modalità automatica non elimina il rischio legato alle azioni degli agenti. Per gli interventi delicati sull’infrastruttura di produzione rimane necessaria una revisione umana. Auto mode sposta il controllo dalle continue conferme sui singoli comandi alla selezione automatica delle operazioni più rischiose, lasciando alle persone soprattutto le decisioni con conseguenze più ampie.
