AI Tools 2026年4月18日 (更新: 2026年8月27日)

Claude Code Auto Mode解説：2層防御で承認ダイアログを93%削減

Claude Code Auto modeの仕組みを解説。入力層のプロンプトインジェクション検査と出力層のSonnet分類器による2層防御アーキテクチャ、Max向け提供状況、承認率93%の意味を詳しくカバー。

#Claude Code #Auto mode #セキュリティ #承認モード #Max
難易度前提知識ゼロでも読めます種別リファレンス

TL;DR

  • 自動承認モード（v2.1.111〜）。2026-08-14 から Pro / Max / Team の既定モードになる
  • 承認リクエストの 93%を自動認可 し、過剰な確認ダイアログを大幅削減
  • セキュリティは 2層防御 で担保（インジェクション検査 + Sonnet分類器）

概要

Claude Code Auto mode は、通常ならユーザーに確認を求める操作を Anthropic のセキュリティ評価に基づいて自動認可する機能です。v2.1.111 から Max サブスクライバーを対象に提供開始されました。

「安全かどうかをいちいち確認するコスト」と「確認なしで実行するリスク」のバランスを取り、信頼できる操作を自動化しながら危険な操作は止める 設計です。

提供範囲（2026-08-14 の既定化）

2026-08-07 の発表で、Auto mode は Pro / Max / Team プランの既定モードになりました。適用は 2026-08-14 で、以降これらのプランで開始する新規セッションは Auto mode で立ち上がります。Enterprise / API / AWS Bedrock / Google Cloud / Microsoft Foundry 経由の利用は当面 opt-in ですが、1か月以内に同様へ切り替える予定と公式に明記されています。

モードの切り替えは CLI では Shift+Tab、デスクトップアプリではモードのドロップダウンから行います。組織で既定を固定する場合は managed settings の defaultMode、Auto mode 自体を無効化する場合は disableAutoMode を使います。

既定化に伴い、承認ダイアログが出ることを前提にした社内の運用ルールは前提が変わります。詳細は Claude Code の auto mode が既定に を参照してください。

2層防御アーキテクチャ

第1層：入力層（プロンプトインジェクション検査）

エージェントへの入力を評価します。

  • Webページ・ファイル・ツール出力に悪意あるインジェクションが含まれていないか検査
  • 外部コンテンツがエージェントの行動を乗っ取ろうとするパターンを検出
  • インジェクションを検出した場合は自動実行を停止してユーザーに通知

第2層：出力層（Sonnet 分類器）

エージェントが提案するアクションを評価します。

  • Claude Sonnet 4.x が各アクション（ファイル書き込み・コマンド実行・API呼び出し等）を評価
  • 想定されるリスクレベルを分類（low / medium / high）
  • low・medium は自動承認、high はユーザーへエスカレーション

承認率93%の意味

通常の開発作業では承認リクエストの 93% が「low / medium」に分類され自動認可されます。

自動認可される代表的な操作：

  • ファイルの読み取り・書き込み（プロジェクト内）
  • npm install / pip install などのパッケージ管理
  • テスト実行・ビルドコマンド
  • Git操作（add / commit / diff）

ユーザー確認が必要な操作（自動認可しない）：

  • rm -rf などの破壊的削除
  • 外部ネットワークへのリクエスト（不審なもの）
  • 環境変数・シークレットの変更
  • システムレベルの設定変更

有効化方法

# Pro / Max / Team は 2026-08-14 以降、既定で Auto mode
# 旧フラグは不要（v2.1.111以降）
claude

# 明示的に指定する場合
claude --auto-mode

# Auto modeの状態確認
/status

グローバルシステムプロンプトキャッシング

Auto mode では グローバルシステムプロンプトキャッシング も有効化されます。Anthropic が管理するシステムプロンプト（Sonnet 分類器の評価基準等）がキャッシュされ、各リクエストのレイテンシとコストを削減します。

Hooks との組み合わせ

Auto mode が自動承認しない操作は PreToolUse フックで追加制御できます。

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "bash /path/to/security-check.sh"
          }
        ]
      }
    ]
  }
}

Hooks が終了コード 2 を返すとツール実行を中断できます。Auto mode + Hooks で「自動化しつつ独自ルールを適用する」構成が組めます。

設定 UI の変更

Auto mode の設定は /permissions の Auto mode タブに統合されました。以前のように専用の設定画面を探す必要はありません。

環境まわりの初期設定は /auto-mode-setup で生成できます。

また、Bedrock / Google Cloud / Microsoft Foundry 経由でも Auto mode が使えるようになり、当初必要だったオプトイン用の環境変数は不要になりました。

安全側の強化

Auto mode は「確認を減らす」機能ですが、危険な操作は止まるよう継続的に強化されています。

  • 破壊的な git コマンドをブロック
  • 未解決の変数を含む削除コマンドは確認する
  • transcript の改ざんをブロック

参考リンク