「Claude Codeを起動したら、いつもの確認プロンプトが出てこなくなった」——そう感じた人がいるかもしれません。

結論から言うと、それは不具合ではありません。Claude CodeはPro・Max・Teamプランにおいて、起動時の既定の権限モードが「オートモード（auto mode）」に切り替わりました。ファイル編集やBashコマンドの実行を、いちいち確認せずに進めるようになった一方、危険な操作は「分類器（classifier）」と呼ばれる別モデルが裏側で判定し、危ないと判断したものは自動的にブロックされます。

普段どおり使っているだけなら気づきにくい変更ですが、「確認なしで何が実行されるのか」を知らないまま使い続けるのはリスクです。公式ドキュメントを一次情報に、変更の中身と注意点を整理します。

本記事は2026年8月16日時点で、Claude Code公式ドキュメント（code.claude.com/docs/en/permission-modes）を確認して記載しています。オートモードの挙動はバージョンごとに細かく更新されているため、実際の判断は必ず公式ドキュメントの最新版でご確認ください。

まず結論：何が変わったか

Claude Codeには複数の「権限モード」があり、モードによって確認なしで実行できる範囲が変わります。今回の変更は、そのうち一番自動化の進んだ「オートモード」が、Pro・Max・Teamプランでは最初から有効な状態で起動するようになった、というものです。

モード 確認なしで動く範囲 向いている用途
default（Manual） 読み取りのみ 1つずつ自分でレビューしたい・機密性の高い作業
acceptEdits 読み取り＋ファイル編集＋基本的なファイル操作コマンド レビュー前提でどんどん編集させたい
plan 読み取り＋（オートモードが使える場合は）分類器が承認したコマンド 変更前にコードベースを調査したい
auto ほぼすべて。ただし分類器がバックグラウンドで安全性を確認 長時間タスク・確認疲れの軽減
dontAsk 事前承認したツールのみ ロックダウンしたCI・スクリプト
bypassPermissions すべて（安全確認もなし） ネット接続のない隔離コンテナ・VM限定

公式ドキュメントには、次のように明記されています（原文）。

On Pro, Max, and Team plans, the built-in starting mode is auto mode.

日本語にすると「Pro・Max・Teamプランでは、既定の起動モードはオートモードになる」ということです。

どんな条件で「オートモードが既定」になるか

ここが誤解されやすいポイントです。すべての起動方法・すべてのプランで自動的にオートモードになるわけではありません。公式ドキュメントが示す条件を整理すると、次のとおりです。

起動方法・プラン 既定の起動モード
Pro・Max・TeamでターミナルまたはVS Code拡張から起動 auto
Enterpriseプラン、またはClaude ConsoleのAPIキー default（Manual）
claude -p（非対話モード）や Agent SDK 経由 default
Amazon Bedrock／Google Cloud／Microsoft Foundry／サインイン済みのClaude apps gateway経由 default
設定ファイルでdisableAutoModeが"disable"になっている場合 default
インストール直後・アップグレード直後の最初のセッション default（この回だけ通知が表示される）

つまり、個人・小規模チームのPro/Max/Team利用者が、ターミナルやVS Codeで日常的に使うケースが主な対象です。企業向けのEnterpriseプランや、API課金・クラウド経由（Bedrock/Vertex/Foundry）での利用は、今のところ引き続き手動確認が既定のままです。

また、この既定が効くには、Claude Code自体のバージョンが一定以上である必要があります。公式ドキュメントの記載は次のとおりです。

The built-in auto default requires Claude Code v2.1.228 or later on macOS, Linux, and WSL, and v2.1.233 or later on native Windows. On earlier versions, the built-in default is Manual.

macOS・Linux・WSLはv2.1.228以上、Windowsネイティブはv2.1.233以上が条件です。古いバージョンのままなら、これまでどおりManualモードで起動します。バージョンはclaude --versionで確認できます。

すでに~/.claude/settings.jsonなどでdefaultModeを自分で設定している場合は上書きされません。公式には「Claude Codeが一度だけ、オートモードに変更してよいか尋ねる。断れば設定はそのまま」と説明されています。

オートモードの仕組み：何を見て、何を見ていないか

オートモードは「何でも許可する」モードではありません。ファイル編集やコマンド実行のたびに、分類器（classifier）と呼ばれる別のモデルが、実行前にそのアクションを審査します。

公式ドキュメントによる判定の流れは次のとおりです。

  1. あなたが設定した許可（allow）・確認（ask）・拒否（deny）ルールに一致するものは、その場で処理される
  2. 作業ディレクトリ内の読み取りと（保護対象パス以外への）ファイル編集は自動承認
  3. それ以外はすべて分類器に回る
  4. 分類器がブロックした場合、Claudeにはその理由が伝わり、別のやり方を試みる

分類器が見ているのは、ユーザーのメッセージ、ツール呼び出し、CLAUDE.mdの内容です。一方で、ツールの実行結果（ファイルの中身やWebページの内容など）は分類器に渡されません。これは、悪意あるコンテンツを読み込ませて分類器自体を騙す（プロンプトインジェクション）リスクを減らすための設計です。ただし別途、ツール結果に不審な内容がないかをサーバー側で走査する仕組みもあると説明されています。

分類器のモデルには、既定でClaude Sonnet 5が使われます（セッションのモデルがSonnet 4.6の場合などは別モデルにフォールバック）。

自動でブロックされる操作・自動で許可される操作

公式ドキュメントに明記されている代表的な例を、ブロック側・許可側それぞれ抜き出します。

自動でブロックされる（既定）

  • curl | bash のような、ダウンロードしたコードのその場実行
  • 本番環境へのデプロイ・マイグレーション
  • クラウドストレージの大量削除
  • IAM・リポジトリ権限の付与
  • force push
  • git reset --hard、git checkout -- .、git clean -fd など、コミットしていない変更を消す操作
  • シークレットマネージャーへの書き込み、DNS・TLS証明書の変更
  • 誰も承認していないプルリクエストのマージ、自分のPRを自分で承認する行為
  • terraform destroy など、インフラを破壊する操作の適用

自動で許可される（既定）

  • 作業ディレクトリ内のローカルなファイル操作
  • ロックファイル・マニフェストに書かれた依存関係のインストール
  • .envを読み取り、対応するAPIにその認証情報を送信すること
  • 読み取り専用のHTTPリクエスト
  • 作業中のリポジトリの、デフォルトブランチを含む任意のブランチへのpush（ただし内容自体は他ルールで審査される）

この中で見落とされがちなのが、「.envの読み取りと、それに対応するAPIへの認証情報送信は、既定で自動承認される」という点です。日常的な開発フローを妨げないための設計ですが、「オートモードだから機密情報の扱いも全部止めてくれる」という理解は誤りです。何が「対応するAPI」にあたるかの線引きも含め、過信は禁物です。

気になる点（両論併記）

自動化が進むこと自体は歓迎できますが、編集部として気になった点も整理しておきます。

① 「安全」ではなく「安全確認の負担軽減」

公式ドキュメントには、次の警告が明記されています。

Auto mode reduces permission prompts but does not guarantee safety. Use it for tasks where you trust the general direction, not as a replacement for review on sensitive operations.

「オートモードは確認の手間を減らすが、安全性を保証するものではない」と、Anthropic自身が明言しています。機密性の高い作業では、オートモードであってもレビューの代わりにはならないという前提で使う必要があります。

② ブロック理由が「定型文」になっている

Claude Code v2.1.208以降、分類器がブロックした際にClaude側へ伝わる理由は、多くのセッションで固定文言のBlocked by classifierになると記載されています。以前のように詳しい説明が毎回返ってくるとは限らないため、「なぜ止まったか分からない」という場面が増える可能性があります。

③ 繰り返しブロックされると、結局プロンプトに戻る

分類器が同じセッション内で3回連続、または合計20回アクションをブロックすると、オートモードは一時停止し、通常の確認プロンプトに戻ると説明されています。この閾値は設定変更できません。非対話（-p）実行で確認先がない場合は、そのアクションは実行されずに処理が続くとされています。

④ オートモードに入ると、既存の許可ルールの一部が失効する

オートモードに入ると、Bash(*)のような任意コード実行を許可する広い許可ルールは自動的に無効化されます（オートモードを抜けると復元）。事前に広い許可ルールを組んでいた人は、挙動が変わったように見えるかもしれません。

⑤ Enterprise・API課金では、分類器のチェック自体がトークン消費に加算される

公式ドキュメントには「Enterpriseプラン、およびClaude API・Amazon Bedrock・Google Cloud・Microsoft Foundry経由の利用では、分類器の呼び出しもトークン使用量に加算される」と明記されています。Pro/Max/Teamではこの記載がないため直接の追加コストにはならないと読めますが、API課金でオートモードを使う場合は、確認プロンプトが減る代わりに分類器の分だけリクエスト回数が増えることは把握しておくべきです。

⑥ bypassPermissionsとは別物

オートモードは「確認なしで動く」という点でbypassPermissions（--dangerously-skip-permissions）と混同されがちですが、性質は異なります。bypassPermissionsは安全確認そのものを行わない、公式も「隔離されたコンテナ・VM限定」と警告するモードです。オートモードは分類器という安全確認を挟む点が決定的に違います。

元のモードに戻すには

オートモードに違和感がある場合、いつでも手動モードに戻せます。

  • 一時的に：セッション中にShift+Tabでモードを切り替える（default → acceptEdits → planの順で循環）
  • 恒久的に：~/.claude/settings.jsonに以下を設定
{
  "permissions": {
    "defaultMode": "default"
  }
}
  • 組織全体で禁止したい場合（管理者向け）：管理設定でpermissions.disableAutoModeを"disable"にする

よくある質問

Q. オートモードは危険なので、切ったほうがいいですか？ A. 一概には言えません。分類器が破壊的な操作の多くを事前にブロックする設計にはなっていますが、公式も「安全性を保証するものではない」と明言しています。機密性の高いリポジトリや本番環境に近い作業では、ManualモードやacceptEditsモードに切り替えることを検討してください。

Q. 自分は何もしていないのに、いつの間にかオートモードになっていました。なぜですか？ A. Pro・Max・Teamプランで、Claude Codeのバージョンが対応バージョン（macOS/Linux/WSLはv2.1.228以上、Windowsはv2.1.233以上）に達すると、既定の起動モードが自動的にオートモードに切り替わります。ただし、すでに自分でdefaultModeを設定している場合は、変更してよいか一度確認が入ります。

Q. bypassPermissions（--dangerously-skip-permissions）と何が違うのですか？ A. bypassPermissionsは安全確認そのものを行わずすべて実行するモードで、公式も隔離環境限定を推奨しています。オートモードは分類器という別モデルが実行前に危険性を審査する点が異なり、確認プロンプトを減らしつつ一定の安全確認は残す設計です。

Q. EnterpriseプランやAPIキー利用でもオートモードが既定になりますか？ A. 現時点ではなりません。公式ドキュメントによれば、EnterpriseプランおよびClaude ConsoleのAPIキー利用では、既定の起動モードはこれまでどおりManual（default）のままです。

Q. Claude Codeを使わず、ClaudeのWeb版やモバイルアプリだけ使っています。関係ありますか？ A. 本記事はClaude Code（ターミナル・VS Code拡張など）の話です。claude.ai/codeのクラウドセッションにもオートモードの選択肢はありますが、組織が許可し、選択したモデルが対応している場合のみ表示されるなど条件が異なります。詳細は公式ドキュメントでご確認ください。

Q. 古いバージョンのClaude Codeを使い続ければ、オートモードは避けられますか？ A. 条件を満たすバージョンに上げない限り、既定はManualのままです。ただしオートモード自体は機能として利用可能な場合があり、Shift+Tabで手動的に切り替えることはできます。セキュリティ修正が今後のバージョンに含まれる可能性もあるため、バージョンを固定する運用にはその点のトレードオフがあります（本記事では今後のアップデート方針までは確認できていません）。

まとめ

  • Claude CodeはPro・Max・Teamプランで、起動時の既定モードが「オートモード」に切り替わった（対応バージョン：macOS/Linux/WSLはv2.1.228以上、Windowsはv2.1.233以上）。
  • オートモードでは、ファイル編集やコマンド実行のたびに確認する代わりに、分類器（classifier）というモデルが危険な操作を審査してブロックする。
  • force push、rm -rf系の破壊的操作、シークレット関連の書き込みなどは既定でブロックされる一方、.envの読み取りと対応APIへの送信は既定で許可される点は要注意。
  • 公式自身が「安全性を保証するものではない」と明言しており、機密性の高い作業では過信せずManualモードやacceptEditsモードを使い分けるのが安全。
  • 気に入らなければShift+TabまたはdefaultMode設定でいつでも元に戻せる。

次に読む