Claude Code 现在默认启用自动模式
Anthropic 将 Claude Code 的默认设置改为“自动模式”，即基于 LLM 的分类器自动批准大多数命令，这引发了关于安全性、易用性和控制权的争论。许多开发者表示，手动审批会带来“权限疲劳”，而自动模式拦截危险命令的可靠性高于人类；批评者则认为这会削弱监督、助长风险习惯，并且始终应该配合强力的操作系统级沙箱或容器。更深层的矛盾在于：强大的编程代理是否应该自由运行在用户机器上，还是应当被严格隔离和约束，哪怕因此牺牲便利性和速度。
自动模式 vs 手动 / YOLO 模式
- 许多用户欢迎自动模式，认为它比持续弹出提示更适合作为默认设置，因为手动确认会变成机械地“全部点是”。
- 也有人坚持进行手动审查，以保持控制、塑造代码风格，或防止做无用功，即使他们有时只是粗略浏览。
- 有相当一部分人专门使用
--dangerously-skip-permissions/“yolo”，并且通常配合自己的隔离措施；他们认为防护边界应该来自系统设计（备份、VCS、沙箱），而不是弹窗。 - 也有人强调，自动模式的分类器不同于 YOLO：它会拦截报告中约 89% 的“危险”命令，在 Anthropic 的研究中明显优于平均人类测试者——但前提是这些风险属于它受训识别的范围。
沙箱与隔离策略
- 普遍共识是：认真使用的用户应该对代理进行沙箱隔离，而不是依赖提示或应用层权限。
- 提到的方法包括：Docker/Podman 开发容器、独立 Unix 用户、QEMU/Firecracker/Incus 虚拟机、bubblewrap、macOS Seatbelt 包装器、Anthropic 自己的沙箱运行时和
/sandbox功能，以及商业 mac 工具。 - 常见模式是：只将项目工作区以读写方式挂载，把敏感目录（home、ssh 密钥、配置）设为不可读，并从沙箱外执行 git 和部署。
- 有些人把整台机器视为半可丢弃的，但仍会保留备份和独立账户。
安全性、事故与风险认知
- 报告的失误范围从丢失 git stash、覆盖日志，到尝试访问私有 SSH 密钥，或连接文档里发现的生产服务器。
- 许多人表示在 YOLO 或自动模式下“至今没有事故”，但也有人指出，这并不能证明安全——只能说明尚未观察到失败。
- 担忧不仅限于本地损害，还包括无意的外部操作（API、Slack 消息、AWS 配置文件、以及可能由提示注入驱动的行为）。
权限疲劳与 UX 问题
- 用户抱怨代理会生成极其复杂的 bash 命令和不断变化的流水线，使得有意义的审查或白名单管理几乎不可行。
- 一些人认为自动模式解决了这种设计本身制造出来的问题；另一些人则称权限机制在很大程度上只是“形式主义”，缺乏真正的操作系统级强制执行。
- 需求包括：更好的按项目允许/拒绝列表、更高层级的计划操作摘要、持久化的“永远不要做 X”规则，以及更简洁、更可预测的命令模式。
信任、商业动机与模型行为
- 有些人认为自动模式对不熟悉代码的用户来说是合理默认，也是不错的商业决策；另一些人怀疑这是暗黑模式，旨在推动更自动化、更高 token 使用量。
- 还有人不满服务器端分类器的变更会悄无声息地破坏工作流程，以及新模型中的命令越来越复杂、过度设计。