Claude Code auto mode徹底解説: 2026年の変更点と安全な使い方

- 以下の数値、バージョン要件、classifierの挙動は、執筆時点（2026-08-20）で公式のcode.claude.comドキュメントと直接照合しています。この領域はリリースのたびに変化するため、ここに記載した内容に依存する前に必ず最新のドキュメントを確認してください。

2026年8月14日に何が変わったのか

最近、Claude Codeがファイル編集やシェルコマンドのたびに「実行してよいですか」と尋ねなくなったなら、その理由はこうです。2026年8月14日より、auto modeがPro、Max、Teamプランで組み込みの初期権限モードになりました。自分で有効にする機能ではなく、すでにあなたのためにオンになっているのです。この切り替えには、macOS、Linux、WSLではClaude Code v2.1.228以降、ネイティブWindows（WSL経由ではない）ではv2.1.233以降が必要です。古いバージョンは従来どおりManualモードで起動します。

見落としやすい点が一つあります。これは全体一律の切り替えではありません。Enterprise、Claude Console APIキーで動作するセッション、claude -p/Agent SDK、そしてAmazon Bedrock、Google CloudのAgent Platform、Microsoft Foundry上のセッションは、従来どおりdefault（Manual）で起動します。今回の変更は、3つのコンシューマー/チーム向けプランのターミナルおよびVS Codeセッションにのみ影響します。

auto modeとは実際に何なのか

短い公式定義はこうです。auto modeとは、y/nの確認を一つずつクリックしていく代わりに、2つ目のモデルであるclassifierがあなたの代わりにアクションをレビューする権限モードです。classifierは、あなたのリクエストを超えてエスカレートするもの、信頼済みと認識していないインフラを対象とするもの、またはClaudeが読み込んだばかりの悪意あるコンテンツに誘導されているように見えるものをブロックします。

多くの情報源が省いている点が一つあります。settings.jsonの明示的なaskルールは、auto modeでも依然として確認を強制します。なぜなら、askルールとは「ここでは確認してほしい」とあなた自身がすでに宣言していることだからです。そして、classifierが動くのはauto modeだけではありません。planモードも、auto modeが利用可能なときはシェルコマンドをclassifierを通して処理します（useAutoModeDuringPlan設定によりデフォルトでオン）。「plan」と「auto」の境界は、多くの人が思っているより薄いのです。

classifierの4つのルール階層: hard_deny、soft_deny、allow、user intent

ここが、多くの情報源が誤解するか完全に省略している部分です。classifierの内部では、すべてのアクションが固定された順序で正確に4つの優先階層を通過します。各階層は下位の階層に優先します。

上記の3つのリスト（hard_deny/soft_deny/allow）は、Anthropicの組み込みルールで、正規表現ではなく文章による説明として書かれています。これらとは別にautoMode.environmentがあり、ここで、classifierが「信頼境界」として扱うべきインフラ（リポジトリ、バケット、内部ドメイン）を宣言します。デフォルトでは、classifierは現在の作業ディレクトリとそのリポジトリに設定されたリモートのみを信頼します。それ以外は、自社のクラウドバケットや内部ドメインを含め、environmentに追加するまで「外部」として扱われます。だからこそ、まったく正当な内部pushでもブロックされることがあるのです。classifierは、そのインフラがあなたのものだとまだ「知らない」だけなのです。

auto modeがデフォルトでブロックするもの・許可するもの

完全なリストは長く（しかも項目ごとにバージョンによる制約があります）が、個人開発者にとって最も重要なのは次のとおりです。

「許可」側で見落としやすい点が一つあります。デフォルトブランチ（mainを含む）へのpushは、現在デフォルトで許可されています。v2.1.211より前は、自分の作業ブランチとClaudeが作成したブランチのみが許可されていました。production、release、gh-pagesのようにデプロイ先に見える名前のブランチは、このデフォルトの対象外です。classifierはそこへのpushを独自の基準で判断し、本番デプロイと同様に扱います。このリストをさらに調整するには（信頼できる内部バケット/ドメインをenvironmentに追加する、またはsoft_denyを厳しくする）、/docs/en/auto-mode-configを参照してください。

auto modeは本当に安全なのか? 数値で見る

Anthropicによる1,053名の有料テスターを対象とした対照試験より: 人間のレビュアーが自力で捕捉できた危険なコマンドはわずか13.6%でしたが、auto modeは89%を捕捉しました。実際の本番データでは、手動で承認されたセッションの6.3%にユーザーが明示的に依頼していない有害なアクションが含まれていたのに対し、auto modeセッションでは2.4%でした（本番レベルの深刻度、しきい値7以上）。

この2つの数値は、少なくとも3つの情報源で独立して裏付けられているため、引用しても問題ありません。出典: Anthropicの公式投稿auto-mode-default-in-claude-code（claude.com/blog、2026年8月）。はっきり述べておくべき注意点が一つあります。同じ投稿内の他の二次的な数値（セッションあたりの平均承認率など）は、本記事の調査中に取得のたびにわずかに異なる数値を返しました。そのため本記事は、上記のよく裏付けられた2つの数値のみを引用します。「X%安全」という主張はいずれも、あなた固有のセッションに対する保証ではなく傾向として捉えるべきです。

なぜclassifierはプロンプトインジェクションに強いのか - ツール結果を決して読まないから

多くの競合が軽く流している疑問があります。Claudeが悪意あるファイル（依存関係のREADME、隠された指示を含むGitHub issue）を読んだ場合、classifierも騙せるのでしょうか? 公式ドキュメントによれば、classifierが見るのはあなたのメッセージ、Claudeが行うツール呼び出し、そしてあなたのCLAUDE.mdの内容だけで、ツールの結果は決して見ません。Claudeが読み込んだばかりのファイルやWebページの中にある敵対的なコンテンツは、classifierの判断を直接操作することはできません。

この層は、受信するツール結果をスキャンし、Claudeが読む前に疑わしいコンテンツをフラグ付けする別個のサーバーサイドのプローブによって補強されています。念のため明確にしておくと、これは部分的な防御であって、絶対的な保証ではありません。Anthropic自身の警告も、auto modeは「権限の確認を減らすが、安全性を保証するものではない」と述べています。

claude auto-mode CLIコマンド

デフォルトを保ちつつ独自のルールを追加したいですか? 配列にリテラル文字列"$defaults"を含めてください。その位置に組み込みルールが挿入され、あなたのルールはその前でも後でも配置できます。"$defaults"を省略すると、そのセクションのデフォルトリスト全体を置き換えることになります。force pushやデータ流出をブロックするルールも含めてです。ですから、本当にリスト全体を自分で管理するつもりのときだけそうしてください。classifierとは独立した隔離層のために、これをClaude CodeのBashサンドボックスと組み合わせましょう。

ブロックされたアクションの確認と再試行 - 「Recently denied」タブ

classifierがアクションをブロックすると、Claude Codeは通知を表示し、/permissionsのRecently deniedタブに記録します。そのタブを開き、拒否されたアクション上でrを押すと再試行用にマークされます。ダイアログを閉じると、Claude Codeはモデルにそのツール呼び出しを再試行してよいと伝え、会話を再開します。

知っておくと便利な自動フォールバックがあります。classifierが1セッションでアクションを3回連続、または合計20回ブロックすると、auto modeは自動的に一時停止し、Claude Codeは手動での確認を再開します。このしきい値は設定変更できません。いずれかのアクションを承認すると連続カウンターはリセットされますが、合計カウンターはフォールバックが独自に発動するまでセッション全体を通じて保持されます。繰り返しブロックされる最も一般的な原因は、classifierがあなたのインフラに関するコンテキストを欠いていることです。最も手早い解決策は、宛先（ドメイン、バケット、リポジトリホスト）をautoMode.environmentに追加し、claude auto-mode configを実行して反映を確認することです。

Manual（または他のモード）に戻す方法

最も手早い方法は依然としてShift+Tabです。正確に押さえておきましょう。デフォルトのサイクルはdefault → acceptEdits → plan → auto → defaultに戻る、という順です。autoにいる状態で一度押すと、そのままdefault（Manual）に戻ります。autoはサイクルが一巡する前の最後の停留点だからです。

他に3つの方法があります。

• 起動フラグ: claude --permission-mode default
• settings.jsonのdefaultModeによる固定設定 - "auto"という値は、~/.claude/settings.json（ユーザースコープのファイル）で宣言したときにのみ有効になります。プロジェクトの.claude/settings.jsonで設定しても無視されます。これは、クローンしたリポジトリが自らに昇格した権限を付与するのを防ぐのと同じガードレールです
• 組織全体のオフスイッチ: 管理者が管理設定でpermissions.disableAutoModeを"disable"に設定します - これによりShift+Tabのサイクルからautoが完全に削除されます

6つの権限モードすべてとallow/denyルールの設定に関する全体像は、Claude Codeの権限と安全な設定を参照してください。

auto modeの実践的な安全チェックリスト

• お使いのプランとモデルが実際にauto modeをサポートしていることを確認する（Anthropic APIではOpus 4.6以降/Sonnet 4.6以降/Fable 5、Bedrock/Vertex/FoundryではSonnet 5/Opus 4.7以降/Fable 5）。Sonnet 4.5、Opus 4.5、Haikuのような古いモデルはどのプロバイダーでもサポートされていません。
• 重要なインフラに触れるタスクの前に、claude auto-mode configでautoMode.environmentの信頼リストを確認する。何が信頼できるかをclassifierに推測させないこと。
• pushやPRの前に人間のチェックポイントが欲しいですか? permissions.askルール（例: "Bash(git push *)"）を追加する。これは常に優先され、classifierがそれを飛び越えて自動承認することはできません。
• 本当に無人で実行する場合、auto modeをサンドボックスの代わりにしないこと。コンテナやVMは、classifier単独に依存しない隔離層を追加します。
• ブロック通知を消してしまうのではなく、/permissions → Recently deniedを定期的に確認する。たいていはclassifierが間違っているのではなく、コンテキストが不足しているサインです。
• 会話の中で述べた境界（「pushしないで」「デプロイ前に私のレビューを待って」）は、classifierによってブロックのシグナルとして尊重されます - ただしコンテキストが圧縮されると失われることがあります。必ず守るべき境界には、チャットで言うだけでなくpermissions.denyまたはpermissions.askを使いましょう。

auto modeとAgentKitのskill

率直な疑問です。AgentKitのskillはclassifierの監視を回避するのでしょうか? いいえ。AgentKitのskillは、Claude Code独自のネイティブなskillシステムを通じて動作するSKILL.mdファイルです。別個の権限層を追加することはなく、classifierをバイパスすることもありません。auto modeの下では、skillのアクションは、あなた自身が入力する任意のコマンドとまったく同じようにclassifierによってレビューされます。

誇張を避けるために言えば、これは「AgentKitはauto modeより安全だ」という話ではありません。その主張には根拠がなく、それを述べるのは不誠実です。AgentKitの本当の価値は別のところにあります。使い捨てのスクリプトを自分で書く代わりに、すぐに使えるワークフロー（skill、agent、レビューゲート）を提供してくれる点です。しかし、すべては本記事で説明したのとまったく同じガバナンスの下で動作します - それ以上でも以下でもありません。AgentKitはClaude Code（およびCodex）の中で動作する有料のアドオンです。Claude Code自体はすでに無料か、あなたが支払っているプランに含まれています。詳しい内訳は、AgentKitとは何か、そして価値があるのかをお読みください。

よくある質問（FAQ）

Claude Codeのauto modeは安全ですか?

対照試験の数値（危険なコマンドの捕捉率89%対13.6%）で見れば手動レビューより安全ですが、絶対的な保証ではありません。Anthropic自身のドキュメントも、auto modeは安全性を保証せずに権限の確認を減らすと明言しています。本当に機微な作業では、チェックリストと人間のチェックポイントが依然として重要です。

auto modeをオフにするには?

セッション中にShift+Tabを押してdefault（Manual）に戻すか、~/.claude/settings.jsonでdefaultModeを設定します（プロジェクトのファイルではなく、ユーザースコープのファイルである必要があります）。組織レベルでは、管理者が管理設定のpermissions.disableAutoMode: "disable"で完全に無効化できます。

auto modeはコストやトークンを多く消費しますか?

Pro/Max/Teamプランでは、classifierのオーバーヘッドに追加料金はかかりません。Enterprise、およびClaude API、Claude Platform on AWS、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundryを使用するアカウントでは、classifierの呼び出しはトークン使用量にカウントされます。auto modeをチームに展開する前に知っておく価値のある違いです（要ライブ確認: お読みの時点での最新の料金ポリシーを確認してください）。

どのモデルがauto modeをサポートしていますか?

Anthropic APIおよびClaude Platform on AWSでは、Opus 4.6以降、Sonnet 4.6以降、またはFable 5。Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundry、およびClaude appsのゲートウェイセッションでは、Sonnet 5、Opus 4.7以降、Fable 5のみ。古いモデル（Sonnet 4.5、Opus 4.5、Haiku、およびclaude-3系）はどのプロバイダーでもサポートされていません。

auto modeはプロンプトインジェクションを防ぎますか?

完全ではなく、部分的にです。classifierは（敵対的なコンテンツが通常潜んでいる）ツール結果を決して読まないため、直接操作するのが難しく、さらにサーバーサイドのプローブがClaudeが読む前にツール結果をスキャンします。これは多層防御であって、免疫の保証ではありません。

Enterpriseはデフォルトでauto modeですか?

いいえ。Enterprise（Claude Console APIキーのセッション、claude -p/Agent SDK、Bedrock/Vertex/Foundryプロバイダーとともに）は依然としてdefault（Manual）で起動します。auto modeは利用可能ですが、Pro/Max/Teamのように自動的に有効化されるのではなく、defaultModeまたは管理者による管理設定でのオプトインが必要です。

結論

auto modeを「速度のために警告をすべてオフにする」ものと考えないでください。これは監視の欠如ではなく、別の層の監視です。4つのルール階層（hard_deny/soft_deny/allow/user intent）を理解し、ブロックされたアクションを確認する場所（/permissions → Recently denied）を把握し、昔ながらの原則を守りましょう。必ず守るべき境界は、圧縮で消えかねない口頭のメモではなく、設定（deny/ask）に置くべきです。6つの権限モードすべての全体像はClaude Codeの権限と安全な設定を、Claude Codeを基礎から理解するにはClaude Codeとは何かをお読みください。