「Claude Codeを起動したら、いつもの確認プロンプトが出てこなくなった」——そう感じた人がいるかもしれません。

結論から言うと、それは不具合ではありません。Claude CodeはPro・Max・Teamプランにおいて、起動時の既定の権限モードが「オートモード（auto mode）」に切り替わりました。ファイル編集やBashコマンドの実行を、いちいち確認せずに進めるようになった一方、危険な操作は「分類器（classifier）」と呼ばれる別モデルが裏側で判定し、危ないと判断したものは自動的にブロックされます。

普段どおり使っているだけなら気づきにくい変更ですが、「確認なしで何が実行されるのか」を知らないまま使い続けるのはリスクです。公式ドキュメントを一次情報に、変更の中身と注意点を整理します。

本記事は2026年8月16日時点で、Claude Code公式ドキュメント（code.claude.com/docs/en/permission-modes）を確認して記載しています。オートモードの挙動はバージョンごとに細かく更新されているため、実際の判断は必ず公式ドキュメントの最新版でご確認ください。2026年9月15日に同ページを再確認し、「⑦」に新しく追加されたブロック対象を反映しました。2026年9月30日に同ページを再々確認したところ、v2.1.283以降でオートモードの既定範囲がPro/Max/Teamに限らず全プラン・全プロバイダに拡大していることを確認したため、「どんな条件で『オートモードが既定』になるか」の表と「⑧」、関連FAQを更新しました。

まず結論：何が変わったか

Claude Codeには複数の「権限モード」があり、モードによって確認なしで実行できる範囲が変わります。今回の変更は、そのうち一番自動化の進んだ「オートモード」が、Pro・Max・Teamプランでは最初から有効な状態で起動するようになった、というものです。

モード 確認なしで動く範囲 向いている用途
default（Manual） 読み取りのみ 1つずつ自分でレビューしたい・機密性の高い作業
acceptEdits 読み取り＋ファイル編集＋基本的なファイル操作コマンド レビュー前提でどんどん編集させたい
plan 読み取り＋（オートモードが使える場合は）分類器が承認したコマンド 変更前にコードベースを調査したい
auto ほぼすべて。ただし分類器がバックグラウンドで安全性を確認 長時間タスク・確認疲れの軽減
dontAsk 事前承認したツールのみ ロックダウンしたCI・スクリプト
bypassPermissions すべて（安全確認もなし） ネット接続のない隔離コンテナ・VM限定

公式ドキュメントには、次のように明記されています（原文）。

On Pro, Max, and Team plans, the built-in starting mode is auto mode.

日本語にすると「Pro・Max・Teamプランでは、既定の起動モードはオートモードになる」ということです。

どんな条件で「オートモードが既定」になるか

ここが誤解されやすいポイントです。すべての起動方法・すべてのプランで自動的にオートモードになるわけではありません。公式ドキュメントが示す条件を整理すると、次のとおりです。

起動方法・プラン 既定の起動モード
ターミナルまたはVS Code拡張から起動（v2.1.283以降） auto（全プラン・全プロバイダ共通）
ターミナルまたはVS Code拡張から起動（v2.1.282以前、Pro・Max・Team） auto
ターミナルまたはVS Code拡張から起動（v2.1.282以前、Enterpriseプラン・Claude ConsoleのAPIキー） default（Manual）
claude -p（非対話モード）や Agent SDK 経由 default（バージョンを問わず）
設定ファイルでdisableAutoModeが"disable"になっている場合 default
インストール直後・アップグレード直後の最初のセッション default（この回だけ通知が表示される）

公開時点（2026年8月）では、個人・小規模チームのPro/Max/Team利用者が、ターミナルやVS Codeで日常的に使うケースが主な対象でした。ただし後述の「⑧」のとおり、v2.1.283以降はEnterpriseプランやAPIキー利用でも、ターミナル・VS Code拡張の対話セッションであれば既定がオートモードに切り替わります（claude -pやAgent SDK経由は引き続きdefaultのまま）。

また、この既定が効くには、Claude Code自体のバージョンが一定以上である必要があります。公式ドキュメントの記載は次のとおりです。

The built-in auto default requires Claude Code v2.1.228 or later on macOS, Linux, and WSL, and v2.1.233 or later on native Windows. On earlier versions, the built-in default is Manual.

macOS・Linux・WSLはv2.1.228以上、Windowsネイティブはv2.1.233以上が条件です。古いバージョンのままなら、これまでどおりManualモードで起動します。バージョンはclaude --versionで確認できます。

すでに~/.claude/settings.jsonなどでdefaultModeを自分で設定している場合は上書きされません。公式には「Claude Codeが一度だけ、オートモードに変更してよいか尋ねる。断れば設定はそのまま」と説明されています。

オートモードの仕組み：何を見て、何を見ていないか

オートモードは「何でも許可する」モードではありません。ファイル編集やコマンド実行のたびに、分類器（classifier）と呼ばれる別のモデルが、実行前にそのアクションを審査します。

公式ドキュメントによる判定の流れは次のとおりです。

  1. あなたが設定した許可（allow）・確認（ask）・拒否（deny）ルールに一致するものは、その場で処理される
  2. 作業ディレクトリ内の読み取りと（保護対象パス以外への）ファイル編集は自動承認
  3. それ以外はすべて分類器に回る
  4. 分類器がブロックした場合、Claudeにはその理由が伝わり、別のやり方を試みる

分類器が見ているのは、ユーザーのメッセージ、ツール呼び出し、CLAUDE.mdの内容です。一方で、ツールの実行結果（ファイルの中身やWebページの内容など）は分類器に渡されません。これは、悪意あるコンテンツを読み込ませて分類器自体を騙す（プロンプトインジェクション）リスクを減らすための設計です。ただし別途、ツール結果に不審な内容がないかをサーバー側で走査する仕組みもあると説明されています。

分類器のモデルには、既定でClaude Sonnet 5が使われます（セッションのモデルがSonnet 4.6の場合などは別モデルにフォールバック）。

自動でブロックされる操作・自動で許可される操作

公式ドキュメントに明記されている代表的な例を、ブロック側・許可側それぞれ抜き出します。

自動でブロックされる（既定）

  • curl | bash のような、ダウンロードしたコードのその場実行
  • 本番環境へのデプロイ・マイグレーション
  • クラウドストレージの大量削除
  • IAM・リポジトリ権限の付与
  • force push
  • git reset --hard、git checkout -- .、git clean -fd など、コミットしていない変更を消す操作
  • シークレットマネージャーへの書き込み、DNS・TLS証明書の変更
  • 誰も承認していないプルリクエストのマージ、自分のPRを自分で承認する行為
  • terraform destroy など、インフラを破壊する操作の適用

自動で許可される（既定）

  • 作業ディレクトリ内のローカルなファイル操作
  • ロックファイル・マニフェストに書かれた依存関係のインストール
  • .envを読み取り、対応するAPIにその認証情報を送信すること
  • 読み取り専用のHTTPリクエスト
  • 作業中のリポジトリの、デフォルトブランチを含む任意のブランチへのpush（ただし内容自体は他ルールで審査される）

この中で見落とされがちなのが、「.envの読み取りと、それに対応するAPIへの認証情報送信は、既定で自動承認される」という点です。日常的な開発フローを妨げないための設計ですが、「オートモードだから機密情報の扱いも全部止めてくれる」という理解は誤りです。何が「対応するAPI」にあたるかの線引きも含め、過信は禁物です。

気になる点（両論併記）

自動化が進むこと自体は歓迎できますが、編集部として気になった点も整理しておきます。

① 「安全」ではなく「安全確認の負担軽減」

公式ドキュメントには、次の警告が明記されています。

Auto mode reduces permission prompts but does not guarantee safety. Use it for tasks where you trust the general direction, not as a replacement for review on sensitive operations.

「オートモードは確認の手間を減らすが、安全性を保証するものではない」と、Anthropic自身が明言しています。機密性の高い作業では、オートモードであってもレビューの代わりにはならないという前提で使う必要があります。

② ブロック理由が「定型文」になっている

Claude Code v2.1.208以降、分類器がブロックした際にClaude側へ伝わる理由は、多くのセッションで固定文言のBlocked by classifierになると記載されています。以前のように詳しい説明が毎回返ってくるとは限らないため、「なぜ止まったか分からない」という場面が増える可能性があります。

③ 繰り返しブロックされると、結局プロンプトに戻る

分類器が同じセッション内で3回連続、または合計20回アクションをブロックすると、オートモードは一時停止し、通常の確認プロンプトに戻ると説明されています。この閾値は設定変更できません。非対話（-p）実行で確認先がない場合は、そのアクションは実行されずに処理が続くとされています。

④ オートモードに入ると、既存の許可ルールの一部が失効する

オートモードに入ると、Bash(*)のような任意コード実行を許可する広い許可ルールは自動的に無効化されます（オートモードを抜けると復元）。事前に広い許可ルールを組んでいた人は、挙動が変わったように見えるかもしれません。

⑤ Enterprise・API課金では、分類器のチェック自体がトークン消費に加算される

公式ドキュメントには「Enterpriseプラン、およびClaude API・Amazon Bedrock・Google Cloud・Microsoft Foundry経由の利用では、分類器の呼び出しもトークン使用量に加算される」と明記されています。Pro/Max/Teamではこの記載がないため直接の追加コストにはならないと読めますが、API課金でオートモードを使う場合は、確認プロンプトが減る代わりに分類器の分だけリクエスト回数が増えることは把握しておくべきです。

⑥ bypassPermissionsとは別物

オートモードは「確認なしで動く」という点でbypassPermissions（--dangerously-skip-permissions）と混同されがちですが、性質は異なります。bypassPermissionsは安全確認そのものを行わない、公式も「隔離されたコンテナ・VM限定」と警告するモードです。オートモードは分類器という安全確認を挟む点が決定的に違います。

⑦ 最新バージョンでブロック対象が追加されている（v2.1.257・v2.1.261）

オートモードのブロック対象は、公開時点（2026年8月）以降のバージョンでも増え続けています。2026年9月15日に公式ドキュメントを再確認したところ、次の項目が新たにブロック対象として明記されていました。

v2.1.257以降

  • クラウドのインスタンスメタデータエンドポイント（169.254.169.254など）から認証情報を取得する操作
  • トンネル・リバースシェル・書き換えられたリゾルバ／プロキシ経由など、直接アクセスではない方法で外部の公開ホストに到達する操作
  • 作業対象ではなく、実行環境（ノード）自体に紐づく認証情報（ノード証明書やコンテナレジストリの認証情報など）を読み取る操作
  • Claudeが起動していない兄弟コンテナ・Pod・VMや、コンテナの下層にあるノードへの接続・スキャン

あわせて、permissions.blockReadsOutsideWorkingDirectoriesが有効な環境では、作業ディレクトリ外の読み取りもオートモード中に分類器の審査対象になる、という変更も加わっています。

v2.1.261以降

  • 公開のペースト・作図・データ共有サービスへのリンクを、URL自体が共有内容を運んでいる状態でメッセージやPR・issue本文に書き込む操作（利用するサービスを事前に名指ししている場合を除く）

いずれもコンテナ・クラウド環境で動かす場合や、外部サービスと連携するタスクで関わってくる項目です。日常のターミナル作業だけをしている場合は、影響を受ける場面は限定的ですが、CI・エージェント連携などで使っている場合は一度見直しておくと安全です。設定の見直し方はClaude Codeを使いこなす7つの習慣でも整理しています。

⑧ v2.1.283以降、対象がEnterprise・API課金にも拡大

本記事の初出時点（2026年8月）では、「オートモードが既定になるのはPro・Max・Teamプランのみ」という整理でした。しかし2026年9月30日に公式ドキュメントを再確認したところ、この前提は更新されていました。

公式ドキュメントには次のように明記されています（原文）。

With Claude Code v2.1.283 or later, auto mode is the built-in starting permission mode for interactive terminal and VS Code sessions on every plan and provider. On earlier versions, it's the built-in starting permission mode only on Pro, Max, and Team plans.

つまり、Claude Code v2.1.283以降では、ターミナルまたはVS Code拡張の対話セッションであれば、プラン・プロバイダを問わずオートモードが既定の起動モードになります。 これはEnterpriseプランやClaude ConsoleのAPIキー、Amazon Bedrock・Google Cloud・Microsoft Foundry経由の利用も含みます。claude -p（非対話モード）やAgent SDK経由のセッションは、バージョンを問わず引き続きdefault（Manual）のままです。

これからClaude Codeを初めて使うEnterprise・API課金ユーザーは、「うちは手動確認が既定のはず」という前提が崩れている可能性がある点に注意してください。バージョンはclaude --versionで確認でき、組織として既定をManualに固定したい場合は管理設定でpermissions.disableAutoModeを"disable"にする対応が必要です。

元のモードに戻すには

オートモードに違和感がある場合、いつでも手動モードに戻せます。

  • 一時的に：セッション中にShift+Tabでモードを切り替える（default → acceptEdits → planの順で循環）
  • 恒久的に：~/.claude/settings.jsonに以下を設定
{
  "permissions": {
    "defaultMode": "default"
  }
}
  • 組織全体で禁止したい場合（管理者向け）：管理設定でpermissions.disableAutoModeを"disable"にする

よくある質問

Q. オートモードは危険なので、切ったほうがいいですか？ A. 一概には言えません。分類器が破壊的な操作の多くを事前にブロックする設計にはなっていますが、公式も「安全性を保証するものではない」と明言しています。機密性の高いリポジトリや本番環境に近い作業では、ManualモードやacceptEditsモードに切り替えることを検討してください。

Q. 自分は何もしていないのに、いつの間にかオートモードになっていました。なぜですか？ A. Pro・Max・Teamプランで、Claude Codeのバージョンが対応バージョン（macOS/Linux/WSLはv2.1.228以上、Windowsはv2.1.233以上）に達すると、既定の起動モードが自動的にオートモードに切り替わります。ただし、すでに自分でdefaultModeを設定している場合は、変更してよいか一度確認が入ります。

Q. bypassPermissions（--dangerously-skip-permissions）と何が違うのですか？ A. bypassPermissionsは安全確認そのものを行わずすべて実行するモードで、公式も隔離環境限定を推奨しています。オートモードは分類器という別モデルが実行前に危険性を審査する点が異なり、確認プロンプトを減らしつつ一定の安全確認は残す設計です。

Q. EnterpriseプランやAPIキー利用でもオートモードが既定になりますか？ A. バージョンによります。Claude Code v2.1.282以前では、EnterpriseプランおよびClaude ConsoleのAPIキー利用は、既定の起動モードがManual（default）のままでした。しかしv2.1.283以降は、ターミナルまたはVS Code拡張の対話セッションであればプラン・プロバイダを問わずオートモードが既定になります（claude -pやAgent SDK経由は引き続きManualのまま）。詳しくは本文「⑧」を参照してください。

Q. Claude Codeを使わず、ClaudeのWeb版やモバイルアプリだけ使っています。関係ありますか？ A. 本記事はClaude Code（ターミナル・VS Code拡張など）の話です。claude.ai/codeのクラウドセッションにもオートモードの選択肢はありますが、組織が許可し、選択したモデルが対応している場合のみ表示されるなど条件が異なります。詳細は公式ドキュメントでご確認ください。

Q. 古いバージョンのClaude Codeを使い続ければ、オートモードは避けられますか？ A. 条件を満たすバージョンに上げない限り、既定はManualのままです。ただしオートモード自体は機能として利用可能な場合があり、Shift+Tabで手動的に切り替えることはできます。セキュリティ修正が今後のバージョンに含まれる可能性もあるため、バージョンを固定する運用にはその点のトレードオフがあります（本記事では今後のアップデート方針までは確認できていません）。

まとめ

  • Claude CodeはPro・Max・Teamプランで、起動時の既定モードが「オートモード」に切り替わった（対応バージョン：macOS/Linux/WSLはv2.1.228以上、Windowsはv2.1.233以上）。v2.1.283以降はEnterpriseプラン・API課金を含む全プラン・全プロバイダの対話セッションが対象（詳細は「⑧」）。
  • オートモードでは、ファイル編集やコマンド実行のたびに確認する代わりに、分類器（classifier）というモデルが危険な操作を審査してブロックする。
  • force push、rm -rf系の破壊的操作、シークレット関連の書き込みなどは既定でブロックされる一方、.envの読み取りと対応APIへの送信は既定で許可される点は要注意。
  • 公式自身が「安全性を保証するものではない」と明言しており、機密性の高い作業では過信せずManualモードやacceptEditsモードを使い分けるのが安全。
  • 気に入らなければShift+TabまたはdefaultMode設定でいつでも元に戻せる。

次に読む