Chúng tôi chỉ muốn hỏi, còn ai nghiêm túc xem các yêu cầu phê duyệt quyền hạn do công cụ lập trình AI đưa ra không?
Anthropic cũng phát hiện ra rằng chỉ có 3% các yêu cầu quyền bị từ chối.
Vì vậy, họ đã đưa ra một quyết định: sau 5 ngày, tất cả Claude Code sẽ tự động được bật chế độ tự động.
Mỗi lần gọi công cụ trong chế độ tự động, bộ phân loại sẽ tiêu tốn thêm một lượng token nhỏ, phần chi phí này sẽ không còn được tính vào người dùng.
Các nền tảng đám mây như Amazon, Google, Microsoft hiện vẫn là tùy chọn, nhưng Anthropic chỉ cho họ một tháng để chuyển các kênh này sang chế độ tự động mặc định.
Cha đẻ của Claude Code cho biết, nhóm nội bộ đã từ lâu chỉ sử dụng chế độ tự động, hoàn toàn không thể tưởng tượng được việc quay lại phê duyệt quyền thủ công.
Thời đại của quyền phê duyệt thủ công đã qua đi
Lý do đầu tiên mà Anthropic đưa ra cho thay đổi này là việc phê duyệt thủ công đã trở thành một hành động mang tính thói quen:
Tỷ lệ đồng ý của người dùng với lời nhắc quyền của Claude Code là 97%. Để so sánh, khi Claude gửi một kế hoạch cho người dùng phê duyệt, tỷ lệ từ chối là 39%; trong khi tỷ lệ từ chối cho từng yêu cầu quyền riêng lẻ chỉ là 3%.
Cùng xu hướng này cũng xuất hiện trong tệp cấu hình. Tính đến tháng 6 năm 2026, 49,5% người dùng CLI hoạt động đã từng tự viết quy tắc cho phép Bash, trong đó 5% trực tiếp cho phép mọi lệnh shell, và 43% đã viết các quy tắc trình thông dịch như Bash(python:) hoặc Bash(node:), những quy tắc này có hiệu quả thực tế tương đương nhau, tỷ lệ này tăng khoảng 5 điểm phần trăm mỗi năm năm tuần.
Ngoài ra, 62% người dùng đã sử dụng bypassPermissions hoặc nhấp vào “Không hỏi nữa” trên Bash, 25% phiên bản tương tác bắt đầu ở chế độ bypass permissions.
Lý do thứ hai đến từ một thí nghiệm có kiểm soát. Anthropic đã tuyển dụng 1.053 người kiểm thử chuyên nghiệp trả phí thông qua nhà cung cấp, để hoàn thành các nhiệm vụ lập trình trong môi trường kiểm thử được xây dựng riêng. Khi cuộc hội thoại diễn ra được một nửa, một trong những lời nhắc quyền hạn đã được thay thế bằng một lệnh rõ ràng nguy hiểm, và nhà cung cấp ghi lại xem người kiểm thử có nhấn đồng ý hay không (việc đồng ý không thực sự thực hiện bất kỳ thao tác nguy hiểm nào; chỉ có văn bản lời nhắc bị thay đổi).
Kết quả là người kiểm tra đã chặn lệnh này ở tỷ lệ 13,6%, tương ứng 143 lần; chế độ auto đã chặn 89%, tương ứng 937 lần với cùng lệnh đó.
Khi so sánh tích cực, chế độ tự động đã ngăn chặn 800 lệnh do con người cho phép, trong khi con người chỉ ngăn chặn 6 lệnh do chế độ tự động cho phép.
Hơn nữa, hiệu suất của con người giảm dần theo thời gian cuộc trò chuyện: ban đầu có thể chặn khoảng 17%, nhưng sau hơn 50 lời nhắc, tỷ lệ chặn giảm xuống còn khoảng 5%, trong khi tỷ lệ chặn của chế độ auto không thay đổi theo độ dài cuộc trò chuyện.
Dữ liệu sản xuất cũng được sử dụng để đánh giá lại.
Từ tháng 5 đến tháng 6 năm 2026, Anthropic đã trích xuất các phiên đã được đánh dấu bởi đường ống an toàn từ các tài khoản được cấp phép để sử dụng dữ liệu huấn luyện và phân tích, sau đó sử dụng mô hình để đánh giá lại mức độ nghiêm trọng theo thang điểm từ 0 đến 10.
-10 điểm đại diện cho tổn hại toàn công ty, không thể phục hồi. -7 điểm đại diện cho mức độ xóa bản ghi cơ sở dữ liệu sản xuất. -0 điểm đại diện cho các thao tác cục bộ hoàn toàn có thể hoàn tác, như ghi đè một tệp tạm thời,
Đồng thời đánh giá mức độ rõ ràng của yêu cầu người dùng đối với thao tác này. Trên các mức độ nghiêm trọng từ 7 điểm trở lên, 6,3% các phiên phê duyệt thủ công chứa các thao tác có hại mà người dùng không yêu cầu rõ ràng, trong khi tỷ lệ này ở các phiên auto mode là 2,4%, và sự khác biệt này được duy trì ở mọi mức độ nghiêm trọng đã được kiểm tra.
Bộ phân loại cũng đã được kiểm thử chống lại các cuộc tấn công. Anthropic đã hợp tác với công ty an toàn AI Apollo Research trong một thử nghiệm kéo dài hai tuần, tiêm các cuộc tấn công tổng hợp vào các quỹ đạo mã hóa thực tế, bao gồm ba bộ dữ liệu: thất bại khái quát, rò rỉ dữ liệu và các mối đe dọa liên quan đến bảo mật.
Sau khi Apollo gửi lại mẫu cuộc tấn công thành công và các đề xuất tăng cường, Anthropic chủ yếu tăng cường bằng cách cung cấp thêm ngữ cảnh môi trường cho bộ phân loại, bao gồm khả năng hiển thị kho, trạng thái git và các quy tắc xử lý dữ liệu.
Sau khi tăng cường, Apollo sử dụng một bộ tập tấn công được giữ riêng mà Anthropic không thể tiếp cận để kiểm tra lại, chế độ tự động đã khôi phục lại khoảng một nửa các cuộc tấn công bị bỏ sót trước đó, với chi phí là bỏ sót khoảng 2% các cuộc tấn công trước đây đã bị chặn lại. Khi kết hợp hai bộ dữ liệu, tỷ lệ bỏ sót giảm từ 12% xuống 7%. Anthropic đồng thời lưu ý rằng các cuộc tấn công này được tạo ra nhằm tìm ra điểm thất bại của bộ phân loại, và 7% không nên được hiểu là tỷ lệ bỏ sót trong lưu lượng thực tế.
Đối với việc tiêm prompt, Anthropic đã ủy thác cho bên thứ ba Trajectory Labs thực hiện đánh giá và còn kéo OpenAI vào làm bia đỡ đạn, với 72 tình huống tiêm gián tiếp, mỗi tình huống chạy 10 lần.
Cuộc tấn công được tối ưu hóa cho Claude Opus 4.7, trong khi Opus 4.7 không có trong danh sách được kiểm tra, nên tất cả các mô hình tham gia đều phải đối mặt với các cuộc tấn công chưa từng thấy.
Trong 720 lần cố gắng tấn công, Claude Fable 5, Opus 5 và Sonnet 5 chạy ở chế độ auto mode không bị xâm phạm lần nào;
Tỷ lệ thành công của cuộc tấn công GPT-5.6 Sol ở chế độ Codex Auto-review là 5,83%, và ở chế độ Full Access là 19,03%.
Để tham khảo, tỷ lệ thành công trung bình của mô hình mới nhất của Claude trong chế độ bypassPermissions không có biện pháp bảo vệ bổ sung là 0,09%.
Ba trường hợp chặn công khai là:
Sau khi tải lên đám mây nội bộ thất bại, giải pháp thay thế của Claude là đăng cùng báo cáo đó lên trang chia sẻ mã nguồn công khai, nhưng bị từ chối và chuyển sang hỏi người dùng;
Trong một phiên làm việc dài, Claude cố gắng kết thúc hàng loạt tiến trình trên hai nghìn pod và xếp hàng các thao tác xóa sẽ gỡ bỏ các nhiệm vụ huấn luyện đang chạy trên hàng trăm GPU; lệnh đã được đánh dấu trước khi thực thi;
Một lần khác, khi được yêu cầu cấu hình quyền truy cập chỉ đọc hóa đơn, Claude đã sử dụng một vai trò đám mây có quyền quản lý đầy đủ ở cấp độ gốc tài khoản, phạm vi quyền hạn không phù hợp với yêu cầu nên bị chặn.
Các tính năng mới gần đây bao gồm:
Đặt việc rò rỉ dữ liệu vào danh sách hard deny, bộ phân loại sẽ không bao giờ phê duyệt; để thực thi, phải thoát khỏi chế độ auto hoặc chạy thủ công; quy tắc này có thể được mở rộng trong cài đặt;
Phân biệt phạm vi truy cập và chia sẻ của khóa và thông tin nhạy cảm, đồng thời kiểm tra trước khi thực hiện git push hoặc PR xem kho mục tiêu là công khai, riêng tư hay đáng tin cậy;
Đọc git status trước khi thực hiện các lệnh như git reset --hard có thể làm mất các thay đổi chưa được commit;
Và khi Claude trích xuất trang web, tệp hoặc đầu ra công cụ, các bộ dò tìm phía API sẽ quét để phát hiện nỗ lực tiêm mã và thêm cảnh báo trước khi kết quả được đưa vào ngữ cảnh.
Muốn chuyển lại? Shift+Tab
Đối với người dùng Pro, Max, Team, nếu chưa từng thiết lập chế độ quyền mặc định, họ sẽ nhận thông báo trong sản phẩm, các phiên mới sẽ tự động khởi động ở chế độ auto mode; những người đã thiết lập chế độ mặc định khác sẽ thấy một lần hỏi duy nhất; nếu quản trị viên Team đã xác định chế độ mặc định trong cài đặt được quản lý, thì không bị ảnh hưởng.
Chuyển chế độ trong CLI bằng cách nhấn Shift+Tab, trên phiên bản máy tính để bàn sử dụng menu thả xuống chế độ. Quản trị viên có thể cố định chế độ mặc định cấp tổ chức thông qua defaultMode trong cài đặt quản lý, hoặc tắt hoàn toàn chế độ tự động bằng disableAutoMode.
Anthropic lưu ý ở cuối thông báo rằng chế độ auto mode phụ thuộc vào hệ thống phân loại, có thể giảm thiểu rủi ro nhưng không thể loại bỏ hoàn toàn rủi ro; đối với các thay đổi có rủi ro cao đối với cơ sở hạ tầng sản xuất, vẫn khuyến nghị người dùng tự xem xét các thao tác của Claude.
Liên kết tham khảo: [1] https://claude.com/blog/auto-mode-default-in-claude-code
Bài viết này đến từ tài khoản chính thức WeChat "Quantum Bit", tác giả: Quan tâm đến công nghệ tiên tiến