Claude Code の権限確認が8月14日から自動審査に、force push や本番デプロイはブロック対象

2026年8月13日

ターミナルでコードを実行する様子（Claude Code のオートメーションイメージ）

この記事のポイント

いつ：2026年8月14日から。Claude Code の Pro・Max・Team プランで新しく開始するセッションが対象
何が：既定の権限モードが auto mode になり、実行前に classifier が審査して危険な操作をブロックする（承認を求めるのではなく止める）
誰に：Pro・Max・Team の利用者。Sonnet 4.5・Opus 4.5・Haiku・claude-3 系は対象外で、Enterprise・API・Bedrock は当面 opt-in（適用日は未公表）
なぜ重要：本番デプロイ・IAM 権限付与・force push・terraform destroy・curl | bash が既定で弾かれる一方、.env の読み取りと対応 API への送信、任意ブランチへの push は止まらない
読者は何をすべきか：使用モデルが対象か確認し、止まると困るコマンドを洗い出し、必要なら permissions.ask / deny で自分の関門を書く（有効化は ~/.claude/settings.json 側）

8月14日、Pro・Max・Team の新規セッションが auto mode で立ち上がる

2026年8月14日から、Claude Code の Pro・Max・Team プランでは、新しく開始するセッションの既定の権限モードが「auto mode」（AI 側が実行可否を判定し、不可逆・破壊的な操作を自動でブロックする権限モード）になります（公式ブログ）。変わるのは新規セッションの既定値だけです。自分で既定モードを設定している場合は、一度きりの切替プロンプトを承諾しない限り現在の設定が維持され、組織側で管理された既定も変更されません。

対象モデルにも線引きがあります。Claude Opus 5 への世代交代と同じく、どの世代を使っているかで可否が分かれ、さらに同じモデルでも利用経路によって扱いが変わります。自分の利用経路の行を見てください。

あなたの利用経路	auto mode が動作するモデル
Pro・Max・Team（アカウントにサインインして利用＝サインイン済み Claude apps gateway）	Sonnet 5・Opus 4.7 以降・Fable 5 のみ
Anthropic API・Claude Platform on AWS	Opus 4.6 以降・Sonnet 4.6 以降・Fable 5
Amazon Bedrock・Google Cloud の Agent Platform・Microsoft Foundry	Sonnet 5・Opus 4.7 以降・Fable 5 のみ

なお Sonnet 4.5・Opus 4.5・Haiku・claude-3 系は、どの経路でも auto mode の対象外です（従来どおりの確認方式のまま）。

この記事の読者である Pro・Max・Team のユーザーは、アカウントにサインインして Claude Code を使う経路にあたるとみられ、見るべきは表の1行目です。使っているモデルが Sonnet 5・Opus 4.7 以降・Fable 5 のいずれかなら対象、それ以外なら対象外と判定できます（自分が使っているモデル名は Claude Code 内の表示や設定画面で確認できます）。

Enterprise・API・Bedrock は当面 opt-in（自分で有効化する方式）のままです。公式は「今後1か月をめど」と述べるにとどまり、適用日は公表していません（公式ドキュメント、国内では PC Watch や ITmedia（Yahoo!ニュース配信）も報じています）。

確認を求めるのではなく止める — classifier が実行前に審査する三つの条件

auto mode の一次的な仕様は「承認プロンプトを出すこと」ではなく「ブロックすること」です。「確認画面が出ないから何でも実行できる」という理解ではなく、危険と判定された操作はそもそも実行前に止まる、という仕組みです。

コマンドの実行前には classifier（操作の内容と文脈を判定する分類器）が審査し、次の3条件のいずれかに該当すると実行が止まります（公式エンジニアリング記事）。

依頼された作業の範囲を超えて権限を拡大しようとしている
認識されていないインフラを対象にしている
敵対的なコンテンツに駆動されている疑いがある

3つ目は、外部テキストに仕込まれた指示でエージェントを乗っ取る「プロンプトインジェクション」への備えです。

force push、terraform destroy、curl | bash — 既定で弾かれる操作の実例

ブロック対象は、失敗すると手元だけでは取り返せない操作に集中しています。

種類	既定でブロックされる操作の例
本番環境への反映	本番デプロイ、データベースマイグレーション
権限の付与	IAM 権限の付与、リポジトリ権限の変更
破壊的な削除	クラウドストレージの一括削除、`terraform destroy`
履歴の書き換え	`force push`、`git reset --hard`、`git clean -fd`
出所不明のコード実行	`curl \| bash` 形式のスクリプト実行

このあたりを日常的に Claude Code へ任せている人ほど、8月14日を境に手が止まります。

一方で .env の読み取りと対応 API への送信は止まらない — 許可側の線引き

auto mode は「危険そうなものを何でも止める」わけではありません。線引きは被害の取り返しやすさで引かれています。

許可される操作	補足
作業ディレクトリ内のファイル操作	読み取り・編集・作成
依存関係のインストール	lock file で宣言済みのもの
`.env` の読み取りと対応 API への送信	秘匿情報を扱うが止まらない
読み取り専用の HTTP リクエスト	情報取得の範囲
作業中リポジトリの任意のブランチへの push	`production` や `gh-pages` 等は対象外

とくに .env の読み取りとその対応 API への送信は要注意です。認証情報をリポジトリ直下に置く環境では、既定は「読んで送る」を許します。push は任意のブランチが許可側に入りますが、production や gh-pages のようなデプロイ先を示す名前のブランチは対象外で、classifier が個別に審査します。

permissions.ask に書けば承認プロンプトは残せる — 設定で自分の関門を作る

モードはいつでも切り替えられます。auto mode に切り替わった後でも、CLI なら Shift+Tab、VS Code・Desktop・claude.ai ならモードセレクタで、元の確認方式に戻せます（当日のセッション単位の切り替えです。恒久的に既定へ戻したい場合は後述の設定ファイルで指定します）。

止まってほしい操作が許可側にあるなら、設定で関門を足せます。permissions.ask（承認プロンプトを必ず出す設定）は classifier より前に評価され、指定した操作では必ず確認が入ります。permissions.deny（禁止設定）も classifier に諮る前にブロックし、上書きもできません（公式ドキュメント）。

{"permissions":{"ask":["Bash(git push:*)","Bash(gh pr create:*)"]}}

※ 記法（コロン区切りのワイルドカード指定など）は変更される可能性があるため、設定する際は公式ドキュメントの最新記法を確認してください。

暴走時の歯止めも用意されています。3回連続、または累計20回のブロックで auto mode は一時停止し、通常の承認プロンプトに戻ります（閾値は変更不可）。

置き場所には落とし穴があります。リポジトリ側の .claude/settings.json に書いた defaultMode: "auto" は v2.1.142 以降は無視されるため、恒久的な設定は ~/.claude/settings.json（ユーザー個人の設定ファイル）側で行います。

ブロック率89%という数字の読み方と、公式が付けた但し書き

Anthropic 自社検証（リサーチベンダー経由で募集した1,053名の盲検・専用テスト環境）では、人間が承認プロンプトで危険な操作に気づけた割合は13.6%（143/1,053）、auto mode は89%（937/1,053）でした。セッションが50件を超えると人間側は5%まで落ちる一方、auto mode はほぼ横ばいです。

第三者評価もあります。Anthropic が Trajectory Labs に委託した検証では、72シナリオ×10回＝720回のプロンプトインジェクション試行に対し、auto mode で動作する Fable 5・Opus 5・Sonnet 5 は成功ゼロでした（公式エンジニアリング記事）。

ただし公式は「auto mode は安全性を保証しない。方向性を信頼できるタスクに使い、機微な操作のレビューの代替にしない」と但し書きを付けています。89%は人間の目の代わりではなく、承認疲れで落ちる検知率を補う数字と読むのが正確です。

まとめ

今回の変更は、Claude Code の既定を「人間に聞く」から「危ないものは止める」へ動かすものです。8月14日までの確認は3点で足ります。

使っているモデルは対象か — Sonnet 4.5・Opus 4.5・Haiku・claude-3 系では動きません
止まると困るコマンドはあるか — 本番デプロイや force push を任せているなら、段取りを組み替えます
ask と deny を書くか、元に戻すか — .env の読み取りや任意ブランチへの push は許可側です。手元の確認方式を維持したいなら、Shift+Tab／モードセレクタでいつでも切り替えられます

既定化が先に効くのは、Pro・Max・Team で日々ターミナルを開く個人と小さなチームです。