Claude Code的最新版本v2.1.311里多了一个开关：通过环境变量，可以让rm这类破坏性命令不再逐条弹出审批框。与之配套的是10月22日的公告，从下周起，Pro、Max、Team用户在网页端、桌面端和移动端开启的新会话，将默认以自动模式运行。也就是说，取消逐条确认这件事，从可选项变成了默认值。
Anthropic给出的对照测试是这样：由一个独立的分类器审查智能体的每一步操作，只拦截高风险动作，可以拦下89%的危险命令；而让用户自己逐条点批准，实际只拦下14%。两个数字放在一起，指向一个反直觉的结论，人工审批在真实使用中接近失效，因为绝大多数人在第四五次弹窗之后就开始无脑点确认。
这也解释了为什么默认值必须改。一个被绕过的审批框不是安全措施，只是操作负担，还会给用户一种"我在把关"的错觉。分类器的89%不是满分，但它是一个可以被测量、被审计、被持续改进的数字，而人的14%既不可测也不可复现。
这两个数字还暴露了一个常被忽略的成本：审批弹窗本身会消耗注意力。一次完整的确认要看懂命令、判断影响范围、估计回滚代价，熟练用户平均也要十几秒。一天弹出两百次，就是半小时以上的纯开销，而且这段时间恰好打断了正在进行的心流。自动模式本质上是把这笔隐性成本换成了可计量的风险，用一个统一的分类器替代分散在每个人身上的判断。
官方在公告里加了一句限定：这种模式必须在隔离环境中使用，容器或虚拟机都行。这句话是整个设计的地基。逐条审批防的是单条命令的即时破坏，自动模式防不了这个，它只能靠在隔离层里让破坏变得廉价，删错了重建容器就行，不会波及宿主机上的项目文件。
所以真正的安全边界从"人点不点确认"变成了"容器边界画在哪里"。哪些目录挂载进去、凭证怎么注入、网络能不能出、出到哪些域名，这四件事决定了自动模式是效率工具还是事故来源。Anthropic没有替用户做这些决定，它只是把默认值调到了效率一侧。
隔离环境的成本差别很大。轻量容器几秒钟起一个，用完即弃，适合一次性的脚本任务；虚拟机更重，但内核隔离更彻底，适合要装依赖、要跑数据库的项目；直接在宿主机上跑则完全没有边界，一旦模型判断失误，代价就是本地项目文件。自动模式把一个必须由用户提前决定的问题推到了前台：你愿意为省下审批时间付出多少隔离成本。
还有一个容易被低估的细节：允许哪些网络出口。智能体在自动模式下可以自己决定装什么包、拉什么依赖，如果网络完全放开，一次供应链投毒就足以绕过所有本地权限控制。官方在访谈里提到网络控制是三道闸门之一，但产品层面给出的默认策略并不激进，更多是把选择权留给使用者。
Anthropic平台工程团队在10月27日的一档播客里，把这套思路讲得更完整。他们把Claude的交付拆成三层：模型是大脑，代理执行框架是神经系统，沙箱是双手。三层解耦的目的不是性能，而是让安全边界落在可以被独立验证的层上。隔离、凭证管理、网络控制是三道闸门，任何一道失守都不至于直接给出宿主机权限。
同一场访谈里还提到两个工程细节。长任务代理需要维护跨窗口的连续性，否则跑到一半掉线，前面的上下文就白费；Messages API用Rust重写，是因为CPU与扩容压力已经超过了原有实现的承受范围。安全分类器与模型路由共同决定请求走向，一件请求既可能因为风险被降级，也可能因为复杂度被升级。
三层解耦还有一个不太被提及的好处：它让模型的替换成本降下来。执行框架与沙箱各自独立之后，换一个新模型不需要重做隔离方案，换一套隔离方案也不需要重训模型。对一个每两三个月就有新版本上线的产品来说，这种解耦比任何单点性能提升都更值钱。代价是层与层之间的接口要维护，任何一层改了协议，另外两层都要跟着适配。
自动模式上线之后，企业内部最容易被忽略的一环是日志。人点过确认这件事，过去是天然的操作记录，现在这个记录消失了。要还原一次事故，只能靠工具调用日志、文件改动记录和分类器判定结果三样东西拼起来，而这三样恰好是多数企业没有接入监控系统的。
更现实的问题是责任划分。当智能体在自动模式下删掉了生产库的一张表，责任在写提示词的人、批准开自动模式的主管、还是提供分类器的厂商，现有合同里通常没有这一条。这个空白不会因为技术变好而消失，反而会随着自主程度提高而变大。分类器拦下89%的能力值得肯定，但剩下那11%怎么兜，才是企业敢不敢把默认值交给它的关键。
从行业走势看，这一步迟早要走。逐条确认的做法源自2023年的聊天式交互，那时的智能体一次只做一件事，确认成本可以接受。当任务时间从分钟级拉长到小时级，一个人要盯几百次弹窗，确认机制就变成了装饰。几家主流的编码工具都在往同一个方向走：把审计从事前挪到事后，把控制从命令级挪到环境级。区别只在推进速度，以及出了事故之后谁负责。
对普通用户来说，这次改动最实际的影响是一条命令都没少执行，只是没人再问你。真正的适应期在最初几天：习惯了点确认的人会不放心，于是频繁去看日志；过了这个阶段，注意力才会真正转移到任务本身。工具的成熟往往就体现在这种注意力的转移上，安全机制从打扰变成背景。