Anthropic zet Claude Code per 14 augustus standaard in auto mode

Anthropic maakt auto mode vanaf 14 augustus de standaard permissiemodus in Claude Code: op Pro, Max en Team beoordeelt een classifier dan elke actie in nieuwe sessies, in plaats van de ontwikkelaar die zit te klikken.

Dat raakt elk Nederlands team dat handmatige goedkeuring als controlemaatregel in zijn beleid heeft staan. Die maatregel verdwijnt op 14 augustus niet doordat iemand hem intrekt, maar doordat de standaard eronder verschuift. Wie zijn eigen standaardmodus al had vastgezet, krijgt eenmalig de vraag of hij wil overstappen en houdt bij weigering wat hij had. Wie niets vastlegde, werkt vanaf die datum in een modus die een push naar de eigen repository en het openen van een pull request niet meer voorlegt.

Wat er precies verandert

De wissel geldt voor nieuwe sessies op Pro, Max en Team. Enterprise-klanten vallen erbuiten; daar blijft auto mode een keuze die de organisatie zelf maakt, en een standaard die een organisatie via managed settings oplegt blijft ongewijzigd. Anthropic stopt tegelijk met het doorbelasten van de tokens die de classifier zelf verbruikt op Pro, Max en Team. Wisselen kan altijd nog: Shift+Tab in de terminal, of de moduskiezer in VS Code en de desktopapp.

De cijfers achter de wissel

In een gecontroleerd onderzoek onder 1.053 betaalde testers ving menselijke review 13,6 procent van de gevaarlijke commando's. Auto mode ving er 89 procent. De oplettendheid van die testers zakte volgens 9to5Mac na vijftig goedkeuringsvragen naar ongeveer 5 procent. Sessies met handmatige goedkeuring bevatten volgens Anthropic ruim twee keer zo vaak echte, onbedoelde schade als sessies in auto mode, en teams die auto mode gebruikten leverden ongeveer 25 procent meer pull requests op.

Voor prompt-injectie liet Anthropic een externe partij, Trajectory Labs, 72 aanvalsscenario's tien keer per stuk uitvoeren: 720 pogingen per meting. Tegen Sonnet 5, Fable 5 en Opus 5 in auto mode slaagde er geen enkele. Tegen OpenAI's GPT-5.6 Sol lag het slaagpercentage op 19,03 procent met Full Access en 5,83 procent met auto-review.

Dat ligt in lijn met de systeemkaart die Anthropic in juli publiceerde, met nul geslaagde prompt-injecties in 129 browserscenario's met auto mode aan, tegen 3,70 procent voor het kale model.

De spanning met het goedkeuringsvenster

Die 13,6 procent bevestigt waar onderzoekers vorige maand al voor waarschuwden. Het AI Now Institute liet in juli met Friendly Fire zien dat één aanprijzende zin in een README genoeg was om Claude Code en Codex een meegeleverde payload te laten draaien, en concludeerde dat automatiseringsbias en klikmoeheid een goedkeuringsmodus opvreten. Dat is ook waarom een codeeragent vastzetten met deny-regels, een OS-sandbox en een korte allowlist zwaarder weegt dan een venster waar iemand ja moet klikken. Het venster was altijd al de zwakste laag. Anthropic haalt hem nu weg als standaard, maar zet er geen sandbox voor in de plaats: er komt een tweede model voor terug.

Wat je vóór 14 augustus vastlegt

De classifier is een tweede poort, niet de eerste: je permissieregels worden ervóór beoordeeld en blijven gewoon werken. Een expliciete ask-regel dwingt dus nog steeds een venster af, en een deny-regel blokkeert nog steeds voordat de classifier iets ziet. Vier instellingen bepalen daarmee wat er in jouw team gebeurt:

• Een menselijke poort per actie. Zet Bash(git push *) en Bash(gh pr create *) onder permissions.ask. Deze regels worden vóór de classifier beoordeeld en dwingen ook in auto mode altijd een goedkeuringsvenster af.
• Een harde grens. permissions.deny in managed settings blokkeert voordat de classifier wordt geraadpleegd en is niet te overrulen, ook niet door de ontwikkelaar zelf.
• Auto mode helemaal uit. Op Team en Enterprise haalt permissions.disableAutoMode op "disable" in managed settings de modus uit de Shift+Tab-cyclus en weigert Claude Code --permission-mode auto bij het opstarten.
• Je eigen infrastructuur benoemen. De classifier vertrouwt standaard alleen je werkmap en de remotes die bij het starten van de sessie waren ingesteld. Je GitLab-org, je interne pakketregister en je cloudbuckets gelden als extern tot je ze in autoMode.environment noemt.

Eén detail kost anders een middag zoeken: de classifier leest het autoMode-blok niet uit .claude/settings.json of .claude/settings.local.json, zodat een ingecheckte repository zichzelf geen ruimte kan geven. Je regels horen in ~/.claude/settings.json of in managed settings, en claude auto-mode config laat zien wat er echt geldt. Zet in allow, soft_deny en hard_deny altijd de letterlijke tekst "$defaults" erbij, anders vervang je de ingebouwde regels in plaats van ze aan te vullen.

Wat de classifier zelf tegenhoudt

De standaardlijst blokkeert onder meer productie-deploys en migraties, force pushes, curl | bash, massale verwijderingen in cloudopslag, het toekennen van IAM- of repositoryrechten en terraform destroy. Ook een commit of push die een secret buiten de repository zou brengen zodra een pipeline hem uitvoert, komt er niet doorheen.

Wat er sinds versie 2.1.211 wél zonder vraag doorheen gaat, is minstens zo relevant: pushes naar elke branch van de repository waarin je werkt, inclusief de standaardbranch, en het aanmaken van een pull request. Een branch die zich als publicatiedoel laat lezen, zoals production, release of gh-pages, beoordeelt de classifier apart.

Er zit wel een rem op. Blokkeert de classifier drie keer op rij of twintig keer in totaal, dan pauzeert auto mode en komen de goedkeuringsvensters vanzelf terug.

Waar het controlepunt heen gaat

De wissel verplaatst het moment waarop een mens ingrijpt. Dat lag bij de klik, halverwege het werk, als de sessie stilstaat en er iemand ja of nee zegt. Het komt te liggen bij de configuratie: welke ask- en deny-regels er staan, welke infrastructuur je hebt benoemd, en of dat alles in managed settings staat of in het settingsbestand van één ontwikkelaar. Anthropic zegt er zelf bij dat het voor ingrijpende wijzigingen aan productie-infrastructuur nog steeds aanraadt om Claude's acties na te lopen.

Dat is de eerlijke lezing van die 89 procent: beter dan een vermoeide mens, geen vervanging van een grens die je hebt opgeschreven. Teams die niets opschrijven erven op 14 augustus de standaardinstellingen van hun leverancier, en die zijn afgestemd op doorwerken.