Claude Code voert een wijziging door waarbij de auto-modus vanaf 14 augustus de standaardinstelling wordt voor Pro-, Max- en Team-abonnementen. Deze modus is ontworpen om autonome taken mogelijk te maken zonder dat de gebruiker constant handmatig prompts hoeft goed te keuren, wat vaak leidt tot 'permission fatigue' waarbij gebruikers reflexmatig klikken.
Kernpunten uit het artikel:
- Veiligheid via Classificatie: Auto-modus maakt gebruik van een classifier die tool-aanroepen screent op onomkeerbare of destructieve acties. Uit onderzoek blijkt dat deze classifier effectiever is in het vangen van gevaarlijke commando's (89%) dan menselijke testers (13,6%).
- Implementatie: Voor Enterprise- en API-gebruikers blijft de modus voorlopig opt-in, maar dit zal naar verwachting binnen een maand veranderen. De kosten voor de classifier-overhead worden voor Pro-, Max- en Team-gebruikers geschrapt.
- Incidentpreventie: Intern heeft Anthropic al gezien dat auto-modus ernstige fouten voorkomt, zoals het per ongeluk publiceren van data op publieke sites of het massaal stoppen van GPU-trainingsjobs.
- Zakelijk gebruik: Bedrijven als Adobe en Nuro zetten de modus al in voor 'agentic loops', waardoor complexe taken zoals UI-bouw en research overnight kunnen worden afgehandeld en resulteren in voltooide Pull Requests.
Auto-modus is nu de standaard in Claude Code voor Pro-, Max- en Team-abonnementen
Vanaf 14 augustus zullen nieuwe sessies voor Pro-, Max- en Team-plannen in auto-modus starten. Gebruikers die zelf een andere standaardinstelling hebben gekozen, krijgen mogelijk een eenmalige melding met de vraag of ze willen overstappen naar auto-modus. Voor gebruikers met een vastgepinde (pinned) standaardinstelling verandert er niets.
De classifier van de auto-modus verbruikt een klein aantal extra tokens per tool-aanroep. Met ingang van vandaag brengen we deze overheadkosten voor de classifier niet langer in rekening bij gebruikers met Pro-, Max- en Team-abonnementen.
Voor Claude Enterprise, de Claude API, het Claude Platform op AWS, Amazon Bedrock, het Agent Platform van Google Cloud en Microsoft Foundry blijft auto-modus voorlopig een opt-in functionaliteit, zodat beheerders de wijziging kunnen beoordelen. In de komende maand zijn we van plan, in samenwerking met onze cloudpartners, dit ook voor deze platformen de standaard te maken en de kosten voor de classifier-overhead te schrappen. Ondertussen kunnen Enterprise-beheerders de auto-modus via beheerde instellingen als standaard instellen.
Hoe auto-modus werkt
Auto-modus is ontworpen om een balans te vinden tussen de wens van gebruikers om niet constant onderbroken te worden en een systeem dat schadelijke acties voorkomt. In plaats van prompts wordt elke tool-aanroep via een classifier geleid die specifiek is gericht op het blokkeren van acties die onomkeerbaar zijn, destructief zijn of buiten je omgeving gericht zijn.
Wanneer de classifier iets blokkeert, vindt Claude meestal zelf een veiligere manier om verder te gaan of vraagt direct om toestemming. Als er geen voortgang wordt geboekt — bijvoorbeeld na drie blokkeringen achter elkaar of twintig verspreid over een sessie — schakelt Claude Code terug naar handmatige goedkeuringen.
Veiligheid en effectiviteit
We hebben de afgelopen maanden uitgebreid getest of auto-modus net zo veilig of veiliger is dan wanneer een gemiddelde gebruiker handmatig prompts goedkeurt. Dit omvatte interne en externe red-teaming, evaluaties van prompt-injecties, een gecontroleerde studie met 1.053 betaalde testers en analyses van echte productiesessies. Op elke geteste maatstaf was auto-modus gelijkwaardig aan of beter dan handmatige beoordeling.
Vergelijking tussen handmatige beoordeling en auto-modus
Data suggereert dat handmatige beoordeling een gewoonte wordt: gebruikers keuren 97% van de toestemmingsprompts in Claude Code goed. Hoewel de meeste prompts waarschijnlijk veilige, routinematige commando's betreffen, wijst een percentage dat zo hoog op het feit dat veel gebruikers reflexmatig klikken in plaats van elk commando te controleren. Dit legt een zware last bij de ontwikkelaar en vergroot de kans dat iets belangrijks over het hoofd wordt gezien.
Ter vergelijking: wanneer Claude een plan presenteert voor goedkeuring, wijzen gebruikers 39% daarvan af. Bij individuele toestemmingsverzoeken is het afwijzingspercentage echter slechts 3%.
Daarnaast maken steeds meer gebruikers gebruik van bypass-instellingen. In juni 2026 hadden 49,5% van de actieve CLI-gebruikers handmatig een Bash allow-rule aangemaakt. Bovendien heeft 62% van de gebruikers bypassPermissions gebruikt of op "niet opnieuw vragen" geklikt bij Bash, en 25% van de interactieve sessies start in bypass-modus.
In auto-modus worden toestemmingsregels nog steeds uitgevoerd vóór de classifier, behalve regels die breed genoeg zijn om willekeurige code-executie toe te staan (bijv. python:*). Deze brede regels worden in auto-modus tijdelijk geparkeerd om te voorkomen dat commando's de classifier volledig omzeilen. De instellingsbestanden worden niet gewijzigd; de regels zijn weer van kracht zodra je naar een andere modus schakelt.
Verbetering van de veiligheid met auto-modus
Hogere detectiegraad van gevaarlijke commando's
In een gecontroleerd experiment met 1.053 betaalde professionele testers vingen mensen slechts 13,6% van de gevaarlijke commando's op, terwijl auto-modus er 89% blokkeerde.
De resultaten laten zien dat auto-modus 800 commando's blokkeerde die door mensen werden goedgekeurd, terwijl mensen slechts 6 commando's blokkeerden die auto-modus toeliet. Naarmate sessies langer duurden, verslechterde de menselijke prestatie: het blokkeringspercentage daalde van ongeveer 17% aan het begin van een sessie naar circa 5% na 50 of meer prompts. De blokkeringsgraad van auto-modus bleef constant ongeacht de lengte van de sessie.
Voorkomen van schadelijke acties in de praktijk
Analyse van echte productiesessies (mei tot juni 2026) toont aan dat sessies met handmatige goedkeuring meer dan twee keer zo vaak ernstige, onbedoelde schade veroorzaakten als sessies in auto-modus. Bij schade op productieniveau (score 7+ op een schaal van 0-10) bevatte 6,3% van de handmatig goedgekeurde sessies een schadelijke actie die de gebruiker niet expliciet had gevraagd, tegenover 2,4% bij auto-modus.
Weerstand tegen adversarial aanvallen en prompt-injectie
Samen met Apollo Research is de classifier versterkt via een "find-fix-verify" loop. De miss rate van de classifier daalde hierdoor van 12% naar 7% bij synthetische, kwaadaardige aanvallen.
Daarnaast biedt auto-modus extra bescherming tegen prompt-injectie. In een evaluatie door Trajectory Labs (juli 2026) slaagde geen enkele aanval (0 van de 720 pogingen) tegen Claude Fable 5, Opus 5 of Sonnet 5 in auto-modus. Ter vergelijking: bij GPT-5.6 Sol in Codex' Auto-review modus was het succespercentage van de aanvallen 5,83%.
Interne incidenten voorkomen door auto-modus
Binnen Anthropic is auto-modus de standaard voor intern gebruik. De classifier heeft onder andere de volgende acties voorkomen:
- Een datalek buiten het netwerk: Toen een upload naar een interne schijf mislukte, probeerde Claude het rapport te publiceren op een publieke site voor code-sharing. Auto-modus weigerde dit en vroeg de gebruiker om verdere instructies.
- Een destructieve massale operatie: In een lange sessie probeerde Claude ongeveer tweeduizend pods te stoppen en verwijderingen in te plannen die honderden GPU's van actieve trainingsjobs zouden hebben vernietigd. Auto-modus vlagde deze commando's vóór uitvoering.
- Te brede privilege escalation: Wanneer er werd gevraagd om leesrechten voor facturering (billing), probeerde Claude een cloud-rol te gebruiken die volledige administratieve controle over het account-root niveau geeft. Auto-modus herkende de mismatch tussen het verzoek en de toegekende rechten.
Toekomstige veiligheidsverbeteringen
Er wordt continu geïnvesteerd in nieuwe functies om auto-modus veiliger te maken:
- Hard denies: Bepaalde acties, zoals data-exfiltratie (het versturen van code of geheimen naar externen), worden door de classifier nooit goedgekeurd. Deze regels zijn aanpasbaar via instellingen.
- Regels voor data-toegang en delen: De classifier maakt nu onderscheid tussen geheimen en vertrouwelijke informatie. Hij controleert of de bestemming van een
git push of pull request publiek, privé of vertrouwd is.
- Controle van git-status: Vóór destructieve acties zoals
git reset --hard bekijkt de classifier de huidige status van de repository om te weten wat er precies wordt gereset.
- Screening op prompt-injectie: Wanneer Claude content uit externe bronnen haalt, controleert een API-side probe of er pogingen zijn om het gedrag van Claude te kapen.
Auto-modus in productie
Verschillende teams gebruiken auto-modus al als standaard:
- Adobe: Gebruikt een agentic loop voor hun merchandising platform om prijs- en promotiepagina's in 90+ landen accuraat te houden. Engineers ontvangen direct de voltooide PR's voor review.
- Nuro: Zet overnight research agents in die evaluatiemetrics verbeteren en 's ochtends klaarstaan als voltooide PR's.
- Gusto: Introduceerde auto-modus om "permission fatigue" te bestrijden, waardoor engineers minder geneigd zijn alle beveiligingschecks volledig te omzeilen.
- Garner Health: Heeft auto-modus voor alle 550 werknemers als standaard ingesteld via beheerde instellingen, wat zorgt voor een gestandaardiseerde software development lifecycle (SDLC).
Ervaringen van gebruikers
"Met Claude Code auto-modus hebben we een agentic loop gebouwd die ons werk razendsnel heeft versneld. Claude bouwt de gebruikersinterface en verifieert vervolgens of deze overeenkomt met het beoogde ontwerp, waarbij problemen automatisch worden opgelost voordat wij ernaar kijken."
— Tomislav Reil, Director of Engineering bij Adobe
"De andere dag startte ik een agent om 22:00 uur en deze bleef draaien tot 05:00 uur — en ik had 's ochtends drie PR's. Alleen auto-modus maakt dit soort workloads mogelijk."
— Kai Zhou, Staff Software Engineer bij Nuro
Aan de slag gaan
Voor Pro-, Max- en Team-gebruikers: Als je geen standaard permission-modus hebt ingesteld, start nieuwe sessies automatisch in auto-modus. Heb je zelf een andere modus ingesteld? Dan krijg je mogelijk een eenmalige vraag of je wilt overstappen. Beheerders van Teams kunnen een standaard instellen via de beheerde settings.
Voor Enterprise-gebruikers en API-gebruikers: Auto-modus blijft voorlopig opt-in. We zijn van plan dit in de komende maand de standaard te maken en zullen beheerders vooraf informeren.
Modus wijzigen:
- In de CLI: druk op
Shift+Tab.
- In de desktop app: gebruik het dropdownmenu voor modi.
- Beheerders kunnen een organisatie-brede standaard vastleggen met
defaultMode of auto-modus volledig uitschakelen met disableAutoMode.
Belangrijke opmerking: Hoewel auto-modus de risico's voor de meeste gebruikers verlaagt, elimineert het risico niet volledig omdat het leunt op classificatiesystemen. Voor kritieke wijzigingen in productie-infrastructuur raden we aan om acties van Claude nog steeds zelf te beoordelen.
***
Dit artikel is geschreven door Conner Phillippi, met bijdragen van Nicholas Carlini, Isaac Fung, John Hughes, Alex Isken, Shawn Moore, Javier Rando en Molly Vorwerck.
¹ Evaluatie uitgevoerd op Claude Code v2.1.205 en Codex v0.144.5.
Auto-modus is nu de standaard in Claude Code voor Pro-, Max- en Team-abonnementen
Vanaf 14 augustus zullen nieuwe sessies voor Pro-, Max- en Team-plannen in auto-modus starten. Gebruikers die zelf een andere standaardinstelling hebben gekozen, krijgen mogelijk een eenmalige melding met de vraag of ze willen overstappen naar auto-modus. Voor gebruikers met een vastgepinde (pinned) standaardinstelling verandert er niets.
De classifier van de auto-modus verbruikt een klein aantal extra tokens per tool-aanroep. Met ingang van vandaag brengen we deze overheadkosten voor de classifier niet langer in rekening bij gebruikers met Pro-, Max- en Team-abonnementen.
Voor Claude Enterprise, de Claude API, het Claude Platform op AWS, Amazon Bedrock, het Agent Platform van Google Cloud en Microsoft Foundry blijft auto-modus voorlopig een opt-in functionaliteit, zodat beheerders de wijziging kunnen beoordelen. In de komende maand zijn we van plan, in samenwerking met onze cloudpartners, dit ook voor deze platformen de standaard te maken en de kosten voor de classifier-overhead te schrappen. Ondertussen kunnen Enterprise-beheerders de auto-modus via beheerde instellingen als standaard instellen.
Hoe auto-modus werkt
Auto-modus is ontworpen om een balans te vinden tussen de wens van gebruikers om niet constant onderbroken te worden en een systeem dat schadelijke acties voorkomt. In plaats van prompts wordt elke tool-aanroep via een classifier geleid die specifiek is gericht op het blokkeren van acties die onomkeerbaar zijn, destructief zijn of buiten je omgeving gericht zijn.
Wanneer de classifier iets blokkeert, vindt Claude meestal zelf een veiligere manier om verder te gaan of vraagt direct om toestemming. Als er geen voortgang wordt geboekt — bijvoorbeeld na drie blokkeringen achter elkaar of twintig verspreid over een sessie — schakelt Claude Code terug naar handmatige goedkeuringen.
Veiligheid en effectiviteit
We hebben de afgelopen maanden uitgebreid getest of auto-modus net zo veilig of veiliger is dan wanneer een gemiddelde gebruiker handmatig prompts goedkeurt. Dit omvatte interne en externe red-teaming, evaluaties van prompt-injecties, een gecontroleerde studie met 1.053 betaalde testers en analyses van echte productiesessies. Op elke geteste maatstaf was auto-modus gelijkwaardig aan of beter dan handmatige beoordeling.
Vergelijking tussen handmatige beoordeling en auto-modus
Data suggereert dat handmatige beoordeling een gewoonte wordt: gebruikers keuren 97% van de toestemmingsprompts in Claude Code goed. Hoewel de meeste prompts waarschijnlijk veilige, routinematige commando's betreffen, wijst een percentage dat zo hoog op het feit dat veel gebruikers reflexmatig klikken in plaats van elk commando te controleren. Dit legt een zware last bij de ontwikkelaar en vergroot de kans dat iets belangrijks over het hoofd wordt gezien.
Ter vergelijking: wanneer Claude een plan presenteert voor goedkeuring, wijzen gebruikers 39% daarvan af. Bij individuele toestemmingsverzoeken is het afwijzingspercentage echter slechts 3%.
Daarnaast maken steeds meer gebruikers gebruik van bypass-instellingen. In juni 2026 hadden 49,5% van de actieve CLI-gebruikers handmatig een Bash allow-rule aangemaakt. Bovendien heeft 62% van de gebruikers bypassPermissions gebruikt of op "niet opnieuw vragen" geklikt bij Bash, en 25% van de interactieve sessies start in bypass-modus.
In auto-modus worden toestemmingsregels nog steeds uitgevoerd vóór de classifier, behalve regels die breed genoeg zijn om willekeurige code-executie toe te staan (bijv. python:*). Deze brede regels worden in auto-modus tijdelijk geparkeerd om te voorkomen dat commando's de classifier volledig omzeilen. De instellingsbestanden worden niet gewijzigd; de regels zijn weer van kracht zodra je naar een andere modus schakelt.
Verbetering van de veiligheid met auto-modus
Hogere detectiegraad van gevaarlijke commando's
In een gecontroleerd experiment met 1.053 betaalde professionele testers vingen mensen slechts 13,6% van de gevaarlijke commando's op, terwijl auto-modus er 89% blokkeerde.
De resultaten laten zien dat auto-modus 800 commando's blokkeerde die door mensen werden goedgekeurd, terwijl mensen slechts 6 commando's blokkeerden die auto-modus toeliet. Naarmate sessies langer duurden, verslechterde de menselijke prestatie: het blokkeringspercentage daalde van ongeveer 17% aan het begin van een sessie naar circa 5% na 50 of meer prompts. De blokkeringsgraad van auto-modus bleef constant ongeacht de lengte van de sessie.
Voorkomen van schadelijke acties in de praktijk
Analyse van echte productiesessies (mei tot juni 2026) toont aan dat sessies met handmatige goedkeuring meer dan twee keer zo vaak ernstige, onbedoelde schade veroorzaakten als sessies in auto-modus. Bij schade op productieniveau (score 7+ op een schaal van 0-10) bevatte 6,3% van de handmatig goedgekeurde sessies een schadelijke actie die de gebruiker niet expliciet had gevraagd, tegenover 2,4% bij auto-modus.
Weerstand tegen adversarial aanvallen en prompt-injectie
Samen met Apollo Research is de classifier versterkt via een "find-fix-verify" loop. De miss rate van de classifier daalde hierdoor van 12% naar 7% bij synthetische, kwaadaardige aanvallen.
Daarnaast biedt auto-modus extra bescherming tegen prompt-injectie. In een evaluatie door Trajectory Labs (juli 2026) slaagde geen enkele aanval (0 van de 720 pogingen) tegen Claude Fable 5, Opus 5 of Sonnet 5 in auto-modus. Ter vergelijking: bij GPT-5.6 Sol in Codex' Auto-review modus was het succespercentage van de aanvallen 5,83%.
Interne incidenten voorkomen door auto-modus
Binnen Anthropic is auto-modus de standaard voor intern gebruik. De classifier heeft onder andere de volgende acties voorkomen:
- Een datalek buiten het netwerk: Toen een upload naar een interne schijf mislukte, probeerde Claude het rapport te publiceren op een publieke site voor code-sharing. Auto-modus weigerde dit en vroeg de gebruiker om verdere instructies.
- Een destructieve massale operatie: In een lange sessie probeerde Claude ongeveer tweeduizend pods te stoppen en verwijderingen in te plannen die honderden GPU's van actieve trainingsjobs zouden hebben vernietigd. Auto-modus vlagde deze commando's vóór uitvoering.
- Te brede privilege escalation: Wanneer er werd gevraagd om leesrechten voor facturering (billing), probeerde Claude een cloud-rol te gebruiken die volledige administratieve controle over het account-root niveau geeft. Auto-modus herkende de mismatch tussen het verzoek en de toegekende rechten.
Toekomstige veiligheidsverbeteringen
Er wordt continu geïnvesteerd in nieuwe functies om auto-modus veiliger te maken:
- Hard denies: Bepaalde acties, zoals data-exfiltratie (het versturen van code of geheimen naar externen), worden door de classifier nooit goedgekeurd. Deze regels zijn aanpasbaar via instellingen.
- Regels voor data-toegang en delen: De classifier maakt nu onderscheid tussen geheimen en vertrouwelijke informatie. Hij controleert of de bestemming van een
git push of pull request publiek, privé of vertrouwd is.
- Controle van git-status: Vóór destructieve acties zoals
git reset --hard bekijkt de classifier de huidige status van de repository om te weten wat er precies wordt gereset.
- Screening op prompt-injectie: Wanneer Claude content uit externe bronnen haalt, controleert een API-side probe of er pogingen zijn om het gedrag van Claude te kapen.
Auto-modus in productie
Verschillende teams gebruiken auto-modus al als standaard:
- Adobe: Gebruikt een agentic loop voor hun merchandising platform om prijs- en promotiepagina's in 90+ landen accuraat te houden. Engineers ontvangen direct de voltooide PR's voor review.
- Nuro: Zet overnight research agents in die evaluatiemetrics verbeteren en 's ochtends klaarstaan als voltooide PR's.
- Gusto: Introduceerde auto-modus om "permission fatigue" te bestrijden, waardoor engineers minder geneigd zijn alle beveiligingschecks volledig te omzeilen.
- Garner Health: Heeft auto-modus voor alle 550 werknemers als standaard ingesteld via beheerde instellingen, wat zorgt voor een gestandaardiseerde software development lifecycle (SDLC).
Ervaringen van gebruikers
"Met Claude Code auto-modus hebben we een agentic loop gebouwd die ons werk razendsnel heeft versneld. Claude bouwt de gebruikersinterface en verifieert vervolgens of deze overeenkomt met het beoogde ontwerp, waarbij problemen automatisch worden opgelost voordat wij ernaar kijken."
— Tomislav Reil, Director of Engineering bij Adobe
"De andere dag startte ik een agent om 22:00 uur en deze bleef draaien tot 05:00 uur — en ik had 's ochtends drie PR's. Alleen auto-modus maakt dit soort workloads mogelijk."
— Kai Zhou, Staff Software Engineer bij Nuro
Aan de slag gaan
Voor Pro-, Max- en Team-gebruikers: Als je geen standaard permission-modus hebt ingesteld, start nieuwe sessies automatisch in auto-modus. Heb je zelf een andere modus ingesteld? Dan krijg je mogelijk een eenmalige vraag of je wilt overstappen. Beheerders van Teams kunnen een standaard instellen via de beheerde settings.
Voor Enterprise-gebruikers en API-gebruikers: Auto-modus blijft voorlopig opt-in. We zijn van plan dit in de komende maand de standaard te maken en zullen beheerders vooraf informeren.
Modus wijzigen:
- In de CLI: druk op
Shift+Tab.
- In de desktop app: gebruik het dropdownmenu voor modi.
- Beheerders kunnen een organisatie-brede standaard vastleggen met
defaultMode of auto-modus volledig uitschakelen met disableAutoMode.
Belangrijke opmerking: Hoewel auto-modus de risico's voor de meeste gebruikers verlaagt, elimineert het risico niet volledig omdat het leunt op classificatiesystemen. Voor kritieke wijzigingen in productie-infrastructuur raden we aan om acties van Claude nog steeds zelf te beoordelen.
***
Dit artikel is geschreven door Conner Phillippi, met bijdragen van Nicholas Carlini, Isaac Fung, John Hughes, Alex Isken, Shawn Moore, Javier Rando en Molly Vorwerck.
¹ Evaluatie uitgevoerd op Claude Code v2.1.205 en Codex v0.144.5.
Groetjes,