Claude Code Auto Mode
What it is
Claude Code Auto Mode 是 Anthropic 发布的四层权限自动化机制，在「每次手动确认」和「dangerously-skip-permissions」之间找到运行时语义判断的中间地带。四层模型包括：
- allow：完全自主模式，agent 可自由执行任何操作
- soft_deny：上下文敏感的 guardrail，根据请求合理性动态判断允许或拒绝
- hard_deny：绝对禁止模式，特定操作永远不会被允许，不受上下文影响
- environment：根据当前环境（repo 状态、分支保护规则等）动态调整权限
soft_deny 的典型行为：说 "force-push this branch" 会被拒绝，但补充 "because CI is failing and we need to unblock the team" 后会被允许。hard_deny 则始终拒绝，无论上下文多么合理。
Why it matters
Anthropic 内部数据显示，用户本就接受了 93% 的提示。手动确认大多时候只是疲劳操作，而非真正有效的安全闸。Auto mode 用低维护成本实现高自主性，把人类注意力从"机械点击批准"转移到"真正需要判断的异常"。
四层模型比二元"允许/拒绝"更接近真实安全需求：大多数操作应该被允许（allow），少数需要上下文判断（soft_deny），极少数永远禁止（hard_deny），环境规则提供兜底（environment）。
Key points
- 权限设计的范式转移：从"列出允许做什么"转向"判断这次调用是否安全"
- soft_deny 是核心创新：运行时语义判断替代静态规则，能捕捉"合法工具的恶意使用"（如删除远程 git 分支、上传 auth token）
- hard_deny 是安全兜底：不受上下文影响的绝对禁止，防止模型被说服绕过关键限制
- 两层防护架构：prompt-injection probe（防输入操纵）+ transcript classifier（防输出越界）
- 与用户行为的收敛：93% 基线接受率说明自动化的边际风险远低于边际收益
Evidence across sources
| Source | Key Claim | Relevance |
|---|---|---|
| AI Builders Digest 2026-05-05 | 模型分类器替代静态 allowlist；prompt-injection probe + transcript classifier；93% 基线接受率 | 官方技术实现与内部数据 |
| AI Briefing 2026-05-17 Evening | Daniel San Medium 文章详解四个 slots 的行为差异、配置技巧和 gotcha；soft_deny 的上下文判断逻辑与 hard_deny 的绝对禁止边界 | 用户视角：四层模型的实战配置指南 |
Open questions
- Auto mode 的误报率（把安全操作拦下）和漏报率（放过危险操作）分别是多少？Anthropic 未公开
- 当模型自身就是判断者时，是否存在"用模型攻击模型"的对抗路径？
- soft_deny 的上下文判断窗口有多长？是否会因对话历史过长而产生漂移？
- 这种运行时语义判断模式是否会成为所有 Agent 工具的默认权限设计？
Prompts for witness
- 你使用 Claude Code 时，有多少比例的确认点击是"无脑通过"？哪些情况下你真的会停下来思考？
- 如果 Auto mode 推广到所有 coding agent，你希望在哪些操作上保留强制人工确认？
- soft_deny 的"根据上下文判断"是否让你更放心，还是更不安？为什么？
- 在你的工作流中，哪些操作应该永远 hard_deny，哪些应该交给 soft_deny 判断？
Related
- claude-code/overview — Claude Code 的整体架构与权限模型
- claude-code/session-management-guide — 上下文延续与恢复机制
- product-trends/responsible-agenting — Agent 安全与责任边界
- harness-engineering/overview — Harness 层的安全设计原则