Claude Code Auto Modeとは？仕組み・設定方法・安全性を詳しく解説

最終更新日:2026/08/21

Claude Codeを使っていて、コマンドを実行するたびに承認を求められ、長時間のタスクを任せにくいと感じたことはないでしょうか。

かといって、承認をすべて省略する「bypassPermissions」には、セキュリティ上の不安が残ります。

Claude Code Auto Modeは、この承認作業をAIクラシファイア（分類器）に任せ、安全と判断した操作だけを自動実行する新しい権限モードです。2026年8月14日からは、Pro・Max・Teamプランの新規セッションでデフォルトのモードになります。

本記事では、2026年8月10日時点のAnthropic公式情報をもとに、Auto Modeの仕組み、対応モデル、設定方法、安全性データ、企業での導入事例までを解説します。

Claude Code Auto Modeとは？

Claude Code Auto Modeとは、専用のクラシファイアが操作の安全性を確認する権限モードです。ツール実行のたびに人間へ承認を求める代わりに、危険と判断した操作だけをブロックします。

2026年3月24日に発表され、同年7月10日には全ユーザー向けに一般提供されました。そして2026年8月14日からは、Pro・Max・Teamプランの新規セッションにおいてデフォルトのモードになる予定です。

Auto Mode登場以前も、Claude Codeには次のような複数の権限モードがありました。

default（Manual）
acceptEdits
plan
dontAsk
bypassPermissions

ただし、長時間の自律的なタスクを任せようとすると、「都度承認を求める運用」と、確認を大幅に省略するbypassPermissions（–dangerously-skip-permissions）との間で、安全性と利便性のトレードオフが生じやすい状況でした。Auto Modeは、安全性と利便性のギャップを埋めるモードとして追加されたものです。

自分で別のデフォルトモードを設定している場合、8月14日に自動でAuto Modeへ変更されるわけではありません。ただし、Auto Modeへ切り替えるかどうかを尋ねる一度限りの案内が表示される場合があります。組織のmanaged settingsでデフォルトが固定されている場合は、その設定が維持されます。

出典：Auto mode is now the default in Claude Code for Pro, Max, and Team plans｜Claude by Anthropic／Auto mode for Claude Code｜Claude by Anthropic

Auto Modeの仕組み｜クラシファイアが操作ごとに安全性を判定する

Auto Modeでは、外部コンテンツを調べるプロンプトインジェクション対策と、ツール実行前に操作の安全性を判定するクラシファイアを組み合わせることで、リスクを抑えています。

ツール呼び出しの直前に、専用のクラシファイアモデルが操作の性質を判定します。確認する主な観点は、次の3点です。

不可逆な操作かどうか
破壊的な操作かどうか
作業環境の外に向かう操作かどうか

安全と判断されたものだけが自動実行されます。

判定は次の順序で行われます。

まず、permissions.denyや明示的なpermissions.askといった権限ルールが評価されます。これらのルールに合致する操作は、クラシファイアの判定を待たずにブロックまたはプロンプト表示となります。
次に、作業ディレクトリ内の読み取りやファイル編集は自動承認されます。
それ以外の操作はクラシファイアの判定に回り、危険と判定されたものだけがブロックされます。

なお、任意のコード実行を許すような広範な許可ルール（Bash(*)など）は、クラシファイアを迂回させないよう、Auto Mode中には一時的に適用されない仕様になっています。

ブロックされた場合、Claudeは別の安全な方法を自ら探すか、ユーザーに直接確認を求めます。同じ種類の操作が3回連続、またはセッション内で合計20回ブロックされると、通常の手動承認モードへ自動的にフォールバックします。

なお、2026年8月10日時点のClaude Codeでは、クラシファイアはデフォルトでClaude Sonnet 5を使用しています。利用環境やモデルの可用性によって別モデルへフォールバックする場合があるため、固定の仕様として捉えないよう注意が必要です。

デフォルトでブロックされる操作／許可される操作

分類	主な内容
ブロックされる操作	curl \| bashのようなダウンロードしたコードの実行、本番デプロイ・データベースへのマイグレーション、git push –forceなどの強制push、IAMやリポジトリ権限の付与、機密データの外部送信、シークレットマネージャーへの書き込み、既存ファイルを不可逆に破壊する削除、クラウドストレージの大量削除
許可される操作	作業ディレクトリ内のファイル編集、lockファイルやmanifestに基づく依存関係のインストール、.envの読み取りと対応するAPIへの送信、読み取り専用のHTTPリクエスト、作業中のリポジトリのブランチへのpush（本番系の名称のブランチを除く）

出典：Choose a permission mode｜Claude Code Docs／How we built Claude Code auto mode｜Anthropic

Auto Modeの対応プラン・モデル・提供状況

Auto Modeは全プランで利用要件を満たせば利用できますが、プランやモデル、利用経路（プロバイダー）によって対応状況が異なります。まず自分の環境で使えるかどうかを確認しましょう。

プラン別の提供状況

Pro・Max・Teamプランでは、2026年8月14日から新規セッションでAuto Modeがデフォルトになります。

一方、次の経路では、2026年8月10日時点ではまだオプトイン（任意で有効化する）扱いです。

Enterprise
Anthropic API
Claude Platform on AWS
Amazon Bedrock
Google CloudのAgent Platform
Microsoft Foundry

Anthropicは、Enterprise・各クラウド経路についても今後1か月程度でデフォルト化を予定していると表明しており、管理者には事前に通知するとしています（変更の可能性があるため最新情報は公式サイトをご確認ください）。

Team・Enterpriseでは、管理者がmanaged settingsでpermissions.disableAutoModeを”disable”に設定することで、組織内でAuto Modeを利用できないようにできます。

プロバイダー・モデル別の対応状況

「AWS」と一括りにされがちですが、Claude Platform on AWSとAmazon Bedrockは別の区分として扱われている点に注意してください。

利用経路	対応モデル
Anthropic API／Claude Platform on AWS	Claude Opus 4.6以降、Sonnet 4.6以降、Fable 5
Amazon Bedrock／Google Cloud Agent Platform／Microsoft Foundry／Claude appsゲートウェイ	Claude Sonnet 5、Opus 4.7以降、Fable 5のみ
非対応	Sonnet 4.5、Opus 4.5、Haiku、claude-3系モデル

出典：Choose a permission mode｜Claude Code Docs

Auto Modeの有効化と設定方法｜CLI・VS Code・settings.json

Auto Modeは、利用条件を満たしていればセッション中にShift+Tabで切り替えられます。ここでは代表的な有効化方法を紹介します。

なお、Auto Modeは2026年3月の初期発表以降、設定方法や対応モデルが複数回更新されています。以下は2026年8月10日時点の現行ドキュメントに基づく手順です。過去のブログ記事で紹介されていた古いコマンドとは異なる場合があるため、実際に設定する際は必ず公式ドキュメントの最新版を確認してください。

CLIでの有効化

CLIでは、Shift+Tabを押すことでdefault（Manual）→acceptEdits→planの順にモードが切り替わります。

Auto Modeの利用条件を満たしている場合は、planの後にautoもサイクルに追加される仕組みです。bypassPermissionsも有効化している環境では、plan→bypassPermissions→autoの順で表示されます。dontAskはShift+Tabの切り替え対象には含まれていません。

起動時にAuto Modeを指定したい場合は、次のコマンドを使います。

Bash

claude --permission-mode auto

VS Code・デスクトップアプリでの設定

VS Codeでは、プロンプト欄下部のモードインジケーターをクリックすることでAuto Modeへ切り替えられます。

ただし、VS Code拡張機能の設定項目であるclaudeCode.initialPermissionModeでは、autoを指定することはできません。新規セッションのデフォルトをAuto Modeにしたい場合は、後述するユーザー設定ファイルのpermissions.defaultModeを利用します。

デスクトップアプリのCodeタブでも、送信ボタン横のモードセレクターから同様に切り替えが可能です。

settings.jsonでの永続化

Auto Modeを毎回のデフォルトにしたい場合は、ユーザー設定ファイル（~/.claude/settings.json）に次のように記述します。

JSON

{
  "permissions": {
    "defaultMode": "auto"
  }
}

組織全体に同じ設定を配布したい場合は、managed settingsで同様の指定を行います。

一方、プロジェクト単位の設定ファイル（.claude/settings.jsonや.claude/settings.local.json）にdefaultMode: “auto”を書いても無視される仕様になっている点には注意が必要です。プロジェクト単位の設定を無視する仕様は、リポジトリを経由して意図せずAuto Modeが有効化されることを防ぐためのガードと考えられます。

逆に、組織としてAuto Modeそのものを止めたい場合は、managed settingsでpermissions.disableAutoModeを”disable”に設定します。

Auto Modeと他の権限モードの違い｜毎回承認と全スキップの中間

Claude Codeには、Auto Modeを含めて主に6つの権限モードがあります。それぞれの特徴を比較表で整理しました。

モード	承認なしで実行される範囲	向いている用途
default（Manual）	読み取りのみ	学習を始めたばかりのとき、機密性の高い作業
acceptEdits	読み取り・ファイル編集・基本的なファイル操作コマンド	レビュー前提でコードを反復修正するとき
plan	読み取りに加え、Auto Mode利用時は分類器が承認したコマンド	変更前にコードベースを調査したいとき
auto	原則としてすべての操作（バックグラウンドの安全性チェック付き）	長時間タスクを任せ、承認疲れを減らしたいとき
dontAsk	事前に許可したツールのみ	CIパイプラインなど、閉じた環境での自動実行
bypassPermissions	原則としてすべての操作（安全性チェックなし）	十分に隔離されたコンテナ・VMなど

Auto Modeは、「毎回承認」の煩雑さと「bypassPermissions」のリスクの中間に位置づけられ、長時間タスクを止めずに進めつつ、危険な操作だけを機械的にせき止める設計です。

もっとも、bypassPermissionsも確認をすべて省略するわけではありません。明示的なpermissions.askルールや、ルート・ホームディレクトリを削除するコマンドなどは、bypassPermissionsでも確認が求められます。

安全性データで見るAuto Mode｜Anthropicが公開した検証結果

Auto Modeが実際にどの程度安全なのか、Anthropicは2026年8月7日の発表で複数の定量データを公開しています。

①有償の専門テスターによる実験
有償の専門テスター1,053名を対象にした実験です。専用のテスト環境の中で、通常の承認プロンプトの1つを意図的に危険なコマンドへ差し替え、テスターが承認・拒否のどちらを選ぶかを検証しました。

その結果、人間が危険なコマンドを拒否できた割合は13.6%にとどまったのに対し、Auto Modeは同じコマンドの89%をブロックしました。ただし、この実験は実際の本番コードベースで行われたものではなく、専用のテスト環境における検証である点には留意してください。実運用そのものの事故率を示す数値ではありません。

②実際のセッションログの再評価
実運用に近いデータとしては、実際のセッションログを再評価した分析もあります。ただし対象は、Claude Codeの全セッションではありません。2026年5〜6月にAnthropicの安全性パイプラインでレビュー対象となり、かつ学習・分析へのデータ利用に同意しているアカウントのセッションに限られます。

その対象のうち、重大度7以上（本番データベースの行削除に相当する水準）の深刻な操作に限ると、次のような結果になりました。

手動承認セッション：6.3%の割合でユーザーが意図していない重大な問題が発生
Auto Modeセッション：2.4%にとどまる

③プロンプトインジェクション対策の第三者評価
プロンプトインジェクション対策についても、第三者機関Trajectory LabsによるBlackbox評価が行われています。

Auto Modeを有効にしたClaude Opus 5・Sonnet 5・Fable 5では、720回の攻撃試行のうち成功した攻撃は0件でした。一方、同じ評価でGPT-5.6 SolをCodex v0.144.5のAuto-reviewモードで実行した場合、攻撃成功率は5.83%だったと報告されています。Anthropicは、この評価の後にOpenAIがAuto-reviewの新しいバージョンを公開しており、現在の結果は異なる可能性があると注記しています。

上記の数値はいずれも、Auto Modeが人間の平均的な承認判断より優れた傾向を示すものであり、「リスクをゼロにする」ことを意味するわけではありません。Anthropic自身も、分類器ベースの仕組みである以上リスクを完全には排除できないと明言しています。

出典：Auto mode is now the default in Claude Code for Pro, Max, and Team plans｜Claude by Anthropic

Auto Mode設定のカスタマイズ｜autoMode.environmentで自社インフラを教える

Auto Modeのクラシファイアは、デフォルトでは作業ディレクトリと、セッション開始時点で設定されていたリポジトリのリモートしか信頼しません。

そのため、自社のソースコード管理サービスやクラウドバケット、社内ドメインなどを教え込んでおかないと、日常的な操作まで頻繁にブロックされてしまいます。組織で導入する場合は、この設定が導入時の重要ポイントになります。

autoMode.environmentで信頼するインフラを定義する

~/.claude/settings.jsonやmanaged settingsのautoMode.environmentに、組織名・利用しているソースコード管理サービス・信頼できるクラウドバケットや社内ドメインなどを自然言語で記述します。

「$defaults」という文字列を含めておくと、Anthropicが提供する既定のルールを残したまま、自社独自のルールを追加できます。

hard_deny・soft_deny・allowで判定ルールを調整する

分類器の判定ルールは、次の3つの設定でも調整できます。

hard_deny：該当する操作は無条件でブロックされ、ユーザーの明示的な指示があっても解除できません。
soft_deny：hard_denyの次に確認されるルールです。該当していても、allowルールの例外や、具体的な操作内容まで明示したユーザーの指示があれば許可される場合があります。
allow：組織として絶対に許可したくない操作はhard_denyに、誤ブロックが多いルーティン操作はallowに追加すると効果的です。

hard_deny・soft_deny・allowの各配列をカスタマイズする際は、environmentの項目と同様に「$defaults」を含めることが重要です。含めずに配列を設定すると、その項目のAnthropic標準ルールが追加ではなく置き換えられてしまいます。標準の保護ルールを維持したまま独自ルールを足したい場合は、原則として「$defaults」を残してください。

設定後は、claude auto-mode configコマンドを実行することで、実際にどのルールが適用されているかを確認できます。

企業導入前に管理者が確認したい4つの設定

autoMode.environmentに、信頼するリポジトリ・ドメイン・クラウド環境を登録する
必ず人間が確認してほしい操作は、permissions.askルールで明示的にプロンプトを出す
絶対に実行させたくない操作は、managed settingsのpermissions.denyで制御する（クラシファイアより前に評価され、解除できません）
本番インフラへの変更など影響範囲が大きい作業は、Auto Modeに任せきりにせず、人間によるレビュー工程を残す

企業でのAuto Mode導入事例｜Adobe・Nuro・Gusto・Garner Health

Anthropicは、Adobe・Nuro・Gusto・Garner HealthなどがAuto Modeを実運用で活用している事例を公開しています。以下は、Anthropicが2026年8月7日に公表した顧客事例をもとにした内容です。

Adobe
90以上の国・30以上の言語にわたるAdobe.comの価格・プロモーションページの構築と検証ループにAuto Modeを活用しています。Claudeがユーザーインターフェースを構築し、意図したデザインと一致しているかを自ら検証・修正することで、開発サイクルを短縮しつつ高品質な結果を実現しているとのことです。

Nuro
研究・エンジニアリング組織全体でAuto Modeを利用し、夜間に自律実行させたエージェントが翌朝までに複数のPull Requestを仕上げる運用を行っています。あるエンジニアは「夜10時にエージェントを起動し、翌朝5時まで走らせたところ、3件のPRが仕上がっていた」とコメントしています。

Gusto
承認プロンプトへの疲れから、開発者がbypassPermissionsに頼りがちになる状況を解消する目的でAuto Modeを導入しました。5月中旬以降のセッションの約1割で分類器によるブロックが発生しており、正常なタスクの妨げにならずに実効性を発揮していることが確認できています。

Garner Health
全従業員550名にmanaged settings経由でAuto Modeをデフォルト展開し、手作業でコマンド許可リストを整備する運用に依存しない、全社統一のソフトウェア開発ライフサイクル（SDLC）を実現しています。

Auto Modeを安全に使うための注意点

Auto Modeはリスクを下げる仕組みであって、リスクをゼロにするものではありません。Anthropicは初期発表の時点で、隔離環境（コンテナ・VM・サンドボックスなど）での利用を推奨していました。最新の案内でも、本番インフラなど影響の大きい変更については、人間がClaudeの操作を確認することを推奨しています。

分類器にも限界があります。ユーザーの意図が曖昧な場合や、判断材料となる文脈が不足している場合には、本来ブロックすべき操作を通してしまう可能性があります。本番インフラへの変更や破壊的なデータ操作など、影響範囲が大きい変更は、従来どおり人間のレビューと組み合わせることが推奨されています。

導入前には、次のような点を確認しておくと安心です。

本番環境と切り離された隔離環境（コンテナ・VMなど）でまず試す
autoMode.environmentを整備し、誤ブロックの原因になりやすい自社インフラを教え込んでおく
push先ブランチの命名規則を確認する（productionやreleaseなど本番系の名称は、通常のpushとは別扱いで判定される）
「pushする前に必ず確認してほしい」といった一時的な境界は、会話で伝えるだけでなくpermissions.askルールとしても設定しておく（会話上の指示だけだと、コンテキストの整理によって失われる可能性があります）

まとめ

Claude Code Auto Modeは、毎回の承認による煩雑さと、確認を一切省略するリスクの間を取る権限モードです。クラシファイアが操作ごとに安全性を判定し、危険な操作だけをブロックすることで、長時間タスクを止めずに進められます。2026年8月14日からは、Pro・Max・Teamプランでデフォルトの権限モードを設定していないユーザーの新規セッションに、Auto Modeが自動的に適用される予定です。

個人で使う場合は、まず隔離環境でCLIから試してみるのがよいでしょう。チームや組織で導入する場合は、autoMode.environmentの整備から始め、permissions.askやpermissions.denyで人間のレビューを残す境界線を明確にしておくことが、安全な運用の基本です。

アイスマイリーでは、生成AI のサービス比較と企業一覧を無料配布しています。課題や目的に応じたサービスを比較検討できますので、ぜひこの機会にお問い合わせください。

生成AI のサービス比較と企業一覧

よくある質問

Auto Modeの利用に追加料金はかかりますか？

Auto Modeは、対応条件を満たすすべてのプランで追加料金なく利用できます。クラシファイアの判定には追加トークンを消費しますが、2026年8月7日以降、Pro・Max・Teamプランではこのオーバーヘッド分が請求されなくなりました。ただし、これはClaude Code本体や各プランの料金自体が無料になるという意味ではありません。Enterpriseやクラウド経由の利用でも、今後同様の対応が予定されています（変更の可能性があるため最新情報は公式サイトをご確認ください）。

Auto ModeとbypassPermissionsはどう違いますか？

bypassPermissionsは原則としてすべての確認を省略する最も緩いモードで、プロンプトインジェクションへの保護もありません。Auto Modeは分類器による安全性チェックを維持したまま、承認プロンプトを減らせる点が異なります。

8月14日以降、何もしなくても自動でAuto Modeになりますか？

デフォルトモードを一度も設定していないPro・Max・Teamユーザーには、新規セッションからAuto Modeが自動適用されます。自分で別のデフォルトを設定済みの場合や、組織のmanaged settingsで管理されている場合は自動では変更されませんが、切り替えを尋ねる一度限りの案内が表示されることがあります。