Claude Code auto modeが8月14日デフォルトに｜変わる人・変わらない人と戻し方

この記事でわかること

• 2026年8月14日に、具体的に何が変わるのか
• 自分の設定は勝手に変わるのか（変わらない条件がある）
• Anthropicがこの変更に踏み切った理由と、公表された検証データ
• auto modeが自動でブロックする操作・許可する操作の具体例
• 手動（Manual）に戻す手順と、既定を固定する方法
• 非エンジニアが「そのまま使うか、戻すか」を判断する基準
• 8月14日までに確認しておきたいチェックリスト

【速報】2026年8月14日にClaude Codeの既定が変わる

Anthropicは2026年8月上旬、Claude Codeのパーミッションモード（権限モード）の既定を変更すると告知しました。公式ドキュメントには次のように明記されています。

Starting August 14, 2026, auto mode becomes the default permission mode for new sessions on Pro, Max, and Team plans.
（2026年8月14日より、auto modeはPro・Max・Teamプランの新規セッションにおける既定のパーミッションモードになります）

出典：Claude Code公式ドキュメント「Choose a permission mode」（2026年8月10日確認）

変更の要点を3行で

1. いつ：2026年8月14日から
2. 誰が：Pro・Max・Teamプランの利用者（Enterprise・API・クラウド各社経由は当面オプトイン）
3. 何が：新しく始めるセッションの既定モードが、毎回承認を求める「Manual」からauto modeに変わる

対象は「新規セッション」であること

公式の記述は “for new sessions”、つまりこれから開始するセッションが対象です。すでに動いている会話が途中で勝手にモード変更されるわけではありません。8月14日以降に立ち上げたセッションから、開始時のモードが変わるという意味です。

Enterprise・APIはどうなるのか

公式ブログによると、今回既定が変わるのはPro・Max・Teamです。Enterprise、API、およびクラウドパートナー経由の利用は当面オプトイン（自分で有効化する方式）のままで、1か月以内に順次展開する予定とされています。会社のアカウントで使っている場合は、8月14日に即変わるとは限りません。

あなたの設定は変わる？変わらない？【重要】

ここが最も誤解されやすいところです。速報記事の多くは「既定になる」とだけ伝えていますが、公式ドキュメントには重要な但し書きがあります。

You can switch modes at any time. A default you set yourself stays in place unless you accept the one-time switch prompt, and a default your organization manages is unchanged.
（モードはいつでも切り替えられます。自分で設定した既定は、一度きりの切替プロンプトを承諾しない限りそのまま維持されます。組織が管理している既定は変更されません）

出典：Claude Code公式ドキュメント「Choose a permission mode」（2026年8月10日確認）

ケース別の早見表

あなたの状況	8月14日以降どうなるか
特に設定せず使ってきた（既定のまま）	auto modeが既定になる
settings.jsonでdefaultModeを自分で設定済み	変わらない（切替プロンプトを承諾した場合のみ変わる）
会社・組織が管理設定で既定を指定している	変わらない
組織がauto modeを無効化している	変わらない（auto modeは使えないまま）

「一度きりの切替プロンプト」とは

すでに自分で既定を決めている人には、切り替えるかどうかを尋ねる案内が一度だけ表示されるとされています。ここで承諾すればauto modeに移り、承諾しなければ従来の設定が維持されます。意図せず変わってしまうことを避けたい人は、この案内を読まずに承諾しないことが唯一の分岐点になります。

そもそもパーミッションモードとは何か

Claude Codeは、ファイルを編集したりコマンドを実行したりネットワークにアクセスしたりするとき、いったん手を止めて許可を求めます。この「どのくらいの頻度で止まるか」を決めるのがパーミッションモードです。

6つのモードの一覧

モード	確認なしで実行される範囲	向いている場面
default（Manual）	読み取りのみ	使い始め・慎重に進めたい作業
acceptEdits	読み取り＋ファイル編集＋mkdirなど基本操作	後からまとめて差分を確認する進め方
plan	読み取り＋（auto mode利用可能なら）判定を通ったコマンド	変更前に調べて計画を立てる
auto	ほぼすべて。ただし裏で安全判定が入る	長い作業・承認疲れの解消
dontAsk	事前に許可したツールのみ	CI・スクリプト用途
bypassPermissions	すべて（判定なし）	隔離されたコンテナ・VMのみ

「Manual」と「default」は同じもの

紛らわしいのですが、毎回確認してくるモードは画面上「Manual」と表示され、設定ファイル上の値は default です。CLIでは manual という別名も受け付けます（この表示名と別名はClaude Code v2.1.200以降）。設定ファイルを触るときは default、画面で探すときは「Manual」と覚えておくとよいです。

auto modeとbypassPermissionsは別物

ここを混同すると危険です。bypassPermissions は一切の確認も判定もなく実行するモードで、公式も隔離されたコンテナやVMでのみ使うようにと明記しています。一方auto modeは判定を挟んだうえで自動化するものです。「auto modeが既定になる＝全部素通しになる」ではありません。

auto modeの仕組み｜判定役が別にいる二重構造

クラシファイア（判定モデル）が実行前にチェックする

auto modeの中心にあるのは、Claude本体とは別に動く判定専用のモデル（クラシファイア）です。Claudeが何かを実行しようとすると、その手前でこの判定役が内容を見て、通すかブロックするかを決めます。作業するAIと、それを見張るAIが別々にいる二重構造と考えると分かりやすいです。

判定役が見ているもの

公式ドキュメントによれば、クラシファイアは次のようなものをブロックします。

• あなたの依頼の範囲を超えて拡大していく操作
• 見覚えのないインフラ（外部のサーバーやサービス）に向かう操作
• Claudeが読み込んだ外部コンテンツに誘導されたと見られる操作

信頼される範囲は「作業ディレクトリと元からあるリモート」だけ

既定では、判定役が信頼するのは作業中のディレクトリと、セッション開始時点で設定されていたGitのリモートだけです。セッション途中で git remote add などで追加されたリモートは信頼されません。それ以外はすべて「外部」として扱われます。

会話で述べた約束もブロック条件になる

面白い挙動として、会話の中で「pushしないで」「レビューするまで反映しないで」と伝えると、判定役はそれをブロック条件として扱います。既定では許可される操作でも、あなたが止めたと言えば止まります。

なぜ今、既定を変えるのか｜公表された数字を読む

理由の中心は「承認プロンプトの97%が承認されていた」

Anthropicが挙げた根拠のうち、最も本質的なのはこの数字です。公式ブログによれば、利用者は承認プロンプトの97%を承認していました。つまり、確認画面はほぼ素通りされており、安全装置として機能していなかったということです。

89% vs 13.6%という比較

1,053人の有料利用者を対象にした対照実験では、危険なコマンドを人間の目視承認が捕捉できたのは13.6%だったのに対し、auto modeは89%をブロックしたと報告されています。

この数字の正しい読み方

ここは慎重に受け取るべきところです。この比較は「AIは人間より賢い」という話ではなく、「人間は繰り返される確認画面に慣れてしまう」という習慣の問題を示しています。1回目の確認は真剣に読んでも、100回目は読まない。97%という承認率は、その帰結です。

実際のセッション分析では2.6倍の差

実運用セッションの分析では、手動承認のセッションのほうが、意図しない重大な問題が起きた頻度が2.6倍高かったと報告されています。

第三者による検証も実施されている

検証はAnthropic社内だけではありません。Apollo Researchによる第三者ペネトレーションテスト、Trajectory Labsによるプロンプトインジェクション評価（720件の攻撃シナリオ）が行われ、auto mode下のClaudeモデルに対しては成功例が0件だったと公表されています。

auto modeがブロックする操作・許可する操作

「自動」と聞くと不安になりますが、何が止まって何が通るかは公式に一覧で公開されています。代表的なものを整理します。

既定でブロックされる操作の例

• ダウンロードしたコードをそのまま実行する（curl | bash の形）
• 機密データを外部の送信先に送る
• 本番環境へのデプロイ、データベースのマイグレーション
• クラウドストレージの大量削除
• IAMやリポジトリの権限付与
• force push（強制的な上書き送信）
• セッション開始前から存在したファイルを、取り返しのつかない形で消す
• git reset --hard や git clean -fd など、未コミットの変更を捨てると判断される操作
• ルートやホームディレクトリを対象にした削除（rm -rf /、rm -rf ~）
• terraform destroy などインフラの破棄
• 人間が誰も承認していないプルリクエストのマージ、CIチェックの無効化
• 本番のフィーチャーフラグの切り替え・削除
• 生きた認証情報やトークンを画面やファイルに出力する
• 公開リポジトリへ秘密情報や個人情報を送る

既定で許可される操作の例

• 作業ディレクトリ内でのファイル操作
• ロックファイルやマニフェストに書かれた依存関係のインストール
• .env の読み取りと、対応するAPIへの認証情報送信
• 読み取りのみのHTTPリクエスト
• 作業中のリポジトリのブランチへのpush（内容は別途チェックされる）
• そのセッションでClaude自身が作成したジョブの削除

ブロックのルールは自分で確認できる

この一覧は記事を読んで暗記するものではありません。ターミナルで次を実行すると、適用されているルールがJSONで出力されます。

claude auto-mode defaults

現在あなたの環境で実際に効いている設定を見たい場合はこちらです。

claude auto-mode config

ブロックが続くと、auto modeは自動的に止まる

これは知っておくと安心できる仕組みです。auto modeは「ブロックし続けて作業が進まない」状態になると、自分から降りて確認を求めるようになります。

3回連続、または合計20回でフォールバック

公式ドキュメントによれば、判定役が3回連続でブロック、または合計20回ブロックすると、auto modeは一時停止し、Claude Codeは通常の承認プロンプトに戻ります。プロンプトを承認すればauto modeが再開します。この回数は設定で変更できません。

なお、許可された操作が1つでもあると連続カウントはリセットされますが、合計カウントはセッション中ずっと積み上がり、上限に達したときにだけリセットされます。

ブロックされた操作はあとから確認・再実行できる

ブロックされた操作は通知が出るほか、/permissions の「Recently denied」タブに残ります。ここで r キーを押すと、手動承認で再実行できます。「勝手にブロックされて何が起きたか分からない」という状態にはなりにくい設計です。

ブロックが多いときに疑うべきこと

ブロックが頻発する場合、たいていは判定役があなたの環境を知らないことが原因です。公式は /feedback での誤検知報告か、管理者による信頼インフラの設定（autoMode.environment）を案内しています。

判定の順番と、auto mode突入時に無効化されるルール

判定は決まった順番で行われる

どの操作も固定の順序で評価され、最初に一致した段階で結果が決まります。

1. allow・ask・denyルールに一致するものは、その場で決着（保護されたパスへの書き込みは、allowルールがあっても判定役へ回される）
2. 読み取り専用の操作と、作業ディレクトリ内のファイル編集は自動承認
3. それ以外はすべて判定役へ
4. 判定役がブロックすると、Claudeは理由を受け取って別の方法を試す

広すぎるallowルールは自動で無効化される

ここは重要な安全設計です。auto modeに入るとき、任意のコード実行を許してしまう広すぎるallowルールは一時的に取り消されます。対象は次のようなものです。

• Bash(*) や PowerShell(*) のような全許可
• Bash(python*) のようなワイルドカード付きインタプリタ
• パッケージマネージャの実行コマンド
• Agent のallowルール

Bash(npm test) のような具体的で狭いルールはそのまま維持されます。取り消されたルールは、auto modeを抜けると元に戻ります。

判定役は何を見て、何を見ないのか

判定役が見るのは、利用者のメッセージ、ツール呼び出し、そしてCLAUDE.mdの内容です。ツールの実行結果は取り除かれます。これは、ファイルやWebページに仕込まれた悪意ある文章が判定役を直接操作できないようにするためです。加えて、サーバー側の別の仕組みが取得結果を走査し、Claudeが読む前に不審な内容へ印を付けます。

サブエージェントとコストへの影響

サブエージェントは3段階でチェックされる

Claude Codeが内部で別のエージェント（サブエージェント）に作業を任せる場合、判定は3つのタイミングで入ります。

1. 開始前：任せる作業内容そのものを評価し、危険そうなら起動時点でブロック
2. 実行中：サブエージェントの各操作を、親セッションと同じルールで判定（サブエージェント側の設定で権限モードを指定していても無視される）
3. 終了時：実行履歴全体を見直し、懸念があれば結果に警告を付ける

判定役はどのモデルで動くのか

判定役は既定でClaude Sonnet 5で動きます。これはあなたが /model で選んでいるモデルとは別です。セッションのモデルがSonnet 4.6の場合や、Sonnet 5が選択対象から外れている場合は、セッションのモデル側で動きます。

トークン消費はどうなるか

ここは正確に書きます。公式ドキュメントによれば、Enterpriseプラン、およびClaude API・Claude Platform on AWS・Amazon Bedrock・Google CloudのAgent Platform・Microsoft Foundryを使うアカウントでは、判定役の呼び出しがトークン使用量に計上されます。各チェックは会話の一部と実行予定の操作を送るため、実行前に1往復が加わります。

ただし、読み取りと作業ディレクトリ内の編集は判定役を通らないため、増える分は主にシェルコマンドとネットワーク操作に由来します。またサンドボックスのネットワーク判定は同じ接続先で使い回されるため、同一ホストへの接続が毎回チェックされるわけではありません。

手動（Manual）に戻す方法

「まだ自動には任せたくない」という判断は十分に妥当です。戻し方は難しくありません。

その場で戻す：Shift+Tab

CLI（ターミナル）でClaude Codeを使っている場合、Shift+Tabキーを押すとモードが順番に切り替わります。画面下部のステータス表示で現在のモードを確認できます。

1. セッション中にShift+Tabを押す
2. ステータス表示が切り替わる（Manualなら灰色で「⏸ manual mode on」と出る）
3. 目的のモードになるまで繰り返す

デスクトップアプリ・VS Codeで戻す

デスクトップアプリでは、Codeタブの送信ボタンの隣にあるモード選択から変更します。VS Code拡張では、プロンプト入力欄の下にあるモード表示をクリックして切り替えます。VS Codeの表示名は「Manual」「Edit automatically」「Plan」「Auto」「Bypass permissions」となっており、Manualが default に対応します。

起動時に指定する

そのセッションだけ手動で始めたい場合は、起動時にオプションを付けます。

claude --permission-mode manual

恒久的に既定を固定する（おすすめ）

毎回切り替えるのが面倒なら、設定ファイルに書いてしまうのが確実です。ホームディレクトリの ~/.claude/settings.json を開き、次のように書きます。

{
  "permissions": {
    "defaultMode": "default"
  }
}

前述のとおり、自分で既定を設定した人は8月14日の変更対象外です。つまりこれを書いておけば、変更の影響を受けません。

プロジェクト設定に書いても効かない場合がある

ここは知らないとハマります。defaultMode: "auto" をプロジェクト内の .claude/settings.json や .claude/settings.local.json に書いても、Claude Code v2.1.142以降は無視されます。リポジトリが自分自身にauto modeの権限を与えてしまうことを防ぐための設計です。auto modeを既定にしたい場合は、ホームディレクトリの ~/.claude/settings.json に書く必要があります。

組織全体で無効にする

TeamやEnterpriseで、組織としてauto modeを使わせたくない場合は、管理設定（managed settings）で次を指定します。

{
  "permissions": {
    "disableAutoMode": "disable"
  }
}

これを設定すると、Shift+Tabの切り替え候補からautoが消え、起動時に --permission-mode auto を指定してもはじかれます。

auto modeを使いつつ、要所だけ確認させる方法

「全部手動に戻す」と「全部任せる」の間を取ることもできます。ここは競合記事があまり触れていない実用的な部分です。

特定の操作だけ必ず確認させる（askルール）

設定ファイルに permissions.ask を書くと、auto modeであってもその操作の前で必ず止まります。askルールは判定役より先に評価されるため、判定役が勝手に承認することはできません。

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

これで「普段は自動で進むが、送信の直前だけは人間が見る」という運用になります。

絶対に実行させない（denyルール）

もっと強く止めたい場合は permissions.deny です。こちらは判定役に問い合わせる前にブロックされ、判定役の判断でも利用者の意図でも上書きできません。

3つの止め方の使い分け

やりたいこと	使う仕組み	強さ
実行前に確認したい	permissions.ask	必ず確認画面が出る
絶対に実行させない	permissions.deny	最も強い。判定より先に効く
今回だけ止めたい	会話で「pushしないで」と伝える	弱い。圧縮で消えることがある

どのモードでも守られる「保護されたパス」

auto modeでも自動承認されない場所がある

見落とされがちですが、Claude Codeにはどのモードでも自動承認されない「保護されたパス（protected paths）」があります。公式ドキュメントによれば、保護されたパスへの書き込みは bypassPermissions モードなどを除いて自動承認されません。allowルールで許可していても、判定役へ回されます。

設定ファイル自身への書き込みも止まる

Claude Code v2.1.205以降では、セッションの記録ファイル（~/.claude/projects/ 配下の履歴）への書き込みもブロック対象です。理由は明快で、記録が書き換えられると、以降のすべてのチェックがその改ざんされた内容を前提にしてしまうためです。読み取りは制限されません。

モードは「土台」でしかない

整理すると、パーミッションモードは土台であり、その上にdeny・askといったルールが重なる構造です。denyルールと明示的なaskルールは、bypassPermissionsを含むすべてのモードで有効です。「モードを緩めたら全部が緩む」わけではない、という点は安心材料になります。

plan modeとの関係

計画中もauto modeの判定が使われる

plan mode（変更を加えずに調査して計画を立てるモード）とauto modeは併用されます。auto modeが利用可能で useAutoModeDuringPlan 設定が有効な場合（既定で有効）、計画中のシェルコマンドは、いちいち確認を求める代わりに判定役がレビューします。承認されたものは実行され、拒否されたものはブロックされます。

計画の承認時に選べる選択肢

計画ができあがると、Claudeは進め方を尋ねてきます。ここでauto modeが関わってきます。

1. Yes, and use auto mode：承認してauto modeで進める
2. Yes, manually approve edits：承認するが、編集は1つずつ確認する
3. No, keep planning：計画を続ける

auto modeが使えない環境では、1つめの選択肢は「Yes, auto-accept edits」という表示になります。慎重に進めたい作業では、ここで2つめを選ぶという運用もできます。8月14日以降も、この選択肢は残ります。

auto modeが使える条件

プランとプロバイダ

公式ドキュメントによれば、auto modeはすべてのプランで利用可能です。プロバイダも、Anthropic API、Claude Platform on AWS、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundry、サインイン済みのClaudeアプリ経由で既定で使えます。

モデルの要件がある

見落としやすいのがモデル要件です。Anthropic APIとClaude Platform on AWSではClaude Opus 4.6以降、Sonnet 4.6以降、またはFable 5が必要です。Amazon Bedrock・Google CloudのAgent Platform・Microsoft Foundry・Claudeアプリ経由では、Claude Sonnet 5、Opus 4.7以降、Fable 5のみが対応します。Sonnet 4.5、Opus 4.5、Haiku、claude-3系はどのプロバイダでも非対応です。

「利用できません」と出たら

公式は、auto modeが利用不可と表示される場合は上記いずれかの条件を満たしていないためであり、一時的な障害ではないと説明しています。一方、モデル名を挙げて「操作の安全性を判定できない」というメッセージが出た場合は判定リクエストの失敗であり、こちらは一時的なことが多いとされています。

非エンジニアはどう判断すべきか

ここからは、当ブログの読者に多い「エンジニアではないがClaude Codeを使っている」人向けの整理です。競合の解説はほぼ開発者向けに書かれているため、この観点はあまり見当たりません。

auto modeが向いている作業

• 文章・資料の下書き、既存ファイルの整形
• 手元のフォルダの中だけで完結する作業
• 試行錯誤を何度も繰り返す作業（承認回数が多いほど恩恵が大きい）
• 個人の学習・練習用のプロジェクト

auto modeを避けたほうがよい作業

• 公開しているサイトやサービスに直接反映される作業
• 顧客情報・個人情報を含むファイルを扱う作業
• お金や契約に関わる処理
• 自分が何をしているのか説明できない作業（一番危ない）

非エンジニアにとっての本当のリスク

正直なところを書きます。非エンジニアにとっての最大のリスクは、ブロックされる操作の一覧ではありません。「止まらなくなったことで、何が起きたのか分からなくなる」ことです。毎回確認していたときは、少なくとも何が実行されるか目に入っていました。auto modeでは、それが流れていきます。

判断に迷ったときの目安

1. 作業対象が自分の手元のフォルダだけで完結するか → はい なら auto modeでよい
2. 失敗しても作り直せるか → はい なら auto modeでよい
3. 公開中のもの・他人に影響するものに触るか → はい なら Manualに戻す
4. 迷ったら → Manualに戻す（後で変えられる）

8月14日までにやっておきたい確認

1. 今の自分のモードを確認する。Claude Codeを起動し、画面下部のステータス表示を見る
2. settings.jsonを見る。~/.claude/settings.json に defaultMode の記載があるか確認する。あれば変更対象外
3. 方針を決める。そのままauto modeを受け入れるか、Manualで固定するか
4. 固定するなら書いておく。"permissions": {"defaultMode": "default"} を書く
5. 要所だけ止めたいならaskルールを書く。Bash(git push *) など
6. 切替プロンプトが出たら、読んでから答える。ここが唯一の分岐点
7. バックアップの習慣を確認する。Gitでこまめにコミットしておく

よくある勘違いと質問

Q. 8月14日に全員が自動承認になるのですか？

いいえ。対象はPro・Max・Teamの新規セッションで、自分で既定モードを設定している人、組織が既定を管理している人は変わりません。何も設定していなかった人が変わります。

Q. auto modeは「何でも実行する」モードですか？

違います。何でも実行するのは bypassPermissions のほうです。auto modeは判定役が実行前にチェックし、危険と判断すればブロックします。

Q. 元に戻すのは面倒ですか？

Shift+Tabを押すだけです。恒久的に固定したい場合でも、設定ファイルに3行書くだけで済みます。

Q. auto modeにすると料金は上がりますか？

判定役として別のモデルが動くため、その分の処理は発生します。公式ブログおよびドキュメントでは、料金体系そのものの変更は告知されていません。裏が取れていない数字は書けないため、ここでは「公式に料金改定の告知はない」という事実のみをお伝えします。最新の情報は公式の料金ページでご確認ください。

Q. プロンプトインジェクションは防げますか？

第三者評価（Trajectory Labs、720件の攻撃シナリオ）ではauto mode下のClaudeモデルに対する成功例が0件だったと公表されています。ただし公式自身が「安全性を保証するものではない」と警告しており、ゼロリスクではありません。

Q. 会社で使っているのですが、どうなりますか？

組織が管理設定で既定を指定している場合は変わりません。Enterpriseは当面オプトインです。まずは社内の管理者に確認するのが確実です。

Q. Claude Code自体をまだ使ったことがありません

今回の変更は既存利用者向けの話なので、これから始める人がまず読むべきは基本のほうです。Claude Codeとは？無料で使えない理由と始め方で全体像を、デスクトップアプリの画面解説で操作画面を掴んでおくと、この記事の内容も入りやすくなります。

Q. 使用量の制限とは関係ありますか？

別の話です。プランごとの利用上限についてはClaude Proの制限の仕組みで整理しています。

まとめ｜変わるのは「何も設定していなかった人」だけ

今回の変更を一言でまとめると、Claude Codeが「毎回確認する」から「危ないときだけ止まる」に既定を変えたということです。その根拠として示された97%という承認率は、確認画面が形骸化していたという不都合な事実を突きつけています。

• 2026年8月14日から、Pro・Max・Teamの新規セッションでauto modeが既定に
• 自分で既定を設定済みの人・組織が管理している人は変わらない
• 戻すのはShift+Tab。固定したいなら ~/.claude/settings.json に3行
• askルールを使えば「普段は自動、要所だけ確認」もできる
• 公式自身が「安全性を保証しない」と明記している。最後に責任を負うのは使う側

Claudeそのものの使い方や、他の機能との関係を含めて全体を押さえたい方は、Claudeの使い方 完全ガイドにまとめてあります。