Claude Codeの自動モードがデフォルトに：人間の承認より89%の危険コマンドをブロック

これが手動による人間のレビューよりも「安全」かどうかという議論はさておき、私には少し異なる問題があります。非常に頻繁に、手動レビューモードでClaudeを実行していると、Claudeは「危険」ではないが、私が望むこととは食い違うことをしようとします。たぶん、私はモデルと戦っているのかもしれませんが、例えば、他のエージェントを調整して作業を行うとき、Claudeは、コードレベルの間違いをキャッチするためのガードレール、レビューエージェント、または人間を信頼する代わりに、作業の進め方について過度に指示的になりたがります。どのファイルを編集するか、何をしてはいけないかなどを正確に指示します。そして、それをしないように伝えても、それは守られません。手動レビューは、ここでの私の最後の防衛線です。ブラックリストに登録したくないものがあり、エージェントを支配する能力が制限されたツールのみを使用できるようにし、権限システムでは捕捉できない動作を捕捉しようとするさまざまなフックがあります。しかし、自動モードを使用すると、この制御を失います。分類子はこれらのタイプのコマンドを喜んで承認します。なぜなら、それはまたClaudeだからです。

これは、起業についてかつて聞いたビジネス逸話を思い出させます。それは、歯磨き粉会社で売上を伸ばす必要があり、誰かがチューブの穴を大きくするという独創的なアイデアを思いつき、人々が絞るときにより多くが出てきて消費量が増え、売上が伸びたという話です。それはうまくいきました。類推はお任せします。

「私たちは、自動モードが平均的なユーザーがプロンプトをクリックして進めるのと同じくらい安全か、あるいはそれ以上に安全かどうかをテストするために、過去数か月を費やしました。」ええ、彼らの視点からは理にかなっているかもしれませんが、結構です。私も時々すべてを読まずにクリックして進めることがありますが、私は制御を維持し、新しいコードについて学び、軌道がそれた場合には方向を変えたいと思います。これは単により多くのトークンを消費するだけです。なぜなら、多くを捨てなければならないからです。そして、私の手動承認設定が将来のアップデートでも尊重されることを願っています（そうでなければ、私は乗り換えます）。

言及する価値があるのは、少なくとも数人のコメンターが混同していると思うからです：自動モードは `--dangerously-skip-permissions` / YOLOモードとは異なります。自動モードでは、コマンドが実行される前に分類子が実行され、理論的には危険なコマンドの実行をブロックします。私はそれがかなり煩わしく、過度に熱心であると感じましたが、おそらくかなり効果的です。

あまりClaudeと対話したくない小規模なプロジェクトでは、Anthropicのサンドボックスランタイムユーティリティ「srt」を使い始めました：

https://github.com/anthropic-experimental/sandbox-runtime

これは「自動」モードと組み合わせています。今のところうまく機能しているようです。私はさまざまなことを手動で確認しました。rwアクセス、機密フォルダー/ファイルへのアクセスなどです。

これまでのところ、2つの小規模なプロジェクトでのみ使用しています。私の主要なプロジェクトでは、プロンプトをクリックして進めており、最近「自動」モードに切り替えました。

なぜ誰かが `--dangerously-skip-permissions` を信頼するのか、よくわかりません。これらのエージェントが、不要なパッケージや環境をインストールしたり、sudoを呼び出したり、あらゆる場所にファイルを作成したりして、道を外れるのを何度も見てきました。

彼らのサイトには、さまざまなサンドボックス戦略に関するページがあります：

https://code.claude.com/docs/en/sandbox-environments

いくつかのトピックで、独自のサンドボックスを構築している人々のさまざまなコメントを見ました。それは素晴らしいことです。ただし、最初はAnthropicのソリューションを試す傾向があります。

自動モードが登場する前、私はすべての権限要求の前に実行されるスクリプトを持っていました。それはHaikuを呼び出し、安全なコマンドと安全でないコマンドの例のリストを含むプロンプトを渡し、安全/安全でないとして分類し、後でレビューできるようにログに記録するように求めました。それは自動モードが登場するまで私にとって非常にうまく機能しました。その時点で、私は独自のものを維持するよりも、プロバイダーの組み込み分類子を好みました。

私は機能がリリースされてからずっと自動モードを使用しています。分類子が安全なコマンドをブロックした非常にまれなケースを除いて、私は問題に直面しておらず、デフォルトモードとして使い続けています。それは素晴らしいです！

>私たちは、調査ベンダーを通じてコーディング研究のために1,053人の有給テスターを雇いました。

>テスターが危険なコマンドを検出したのはわずか13.6%（1,053件中143件）でしたが、自動モードは同じコマンドの89%（1,053件中937件）をブロックしました。直接対決では、自動モードは人間が承認した800のコマンドをブロックしましたが、人間が自動モードが許可したものをブロックしたのはわずか6でした。セッションが長くなるにつれて、人間のパフォーマンスは低下しました。セッションの早い段階では危険なコマンドの約17%をブロックしましたが、50以上の事前プロンプトの後では約5%に低下しました。一方、自動モードのブロック率はセッションの長さに関係なく一定でした。

テスターの熟練度、経験、スキルレベルについての言及はありますか？数字の差が途方もなく高いからです。

私はここ1か月ほど、Dockerコンテナ内で `--dangerously-skip-permissions` を指定してClaude Codeを実行しており、Claudeが作業をしている間に立ち上がって足を伸ばすことができます。サンドボックスなしで実行したいとは絶対に思いません。

現時点では、これにはあまりにも頻繁にすぐに脱線します。確かに、5つのファイルで簡単なものがありますか？使い捨てのプロトタイプや概念実証を構築していますか？それならどうぞ。維持して他の人と協力することを期待している実際のプロジェクトがありますか？まあ、実際のアーキテクチャ設計には別れを告げてください。これらのものにスケーラブルで保守可能なコードを構築させることは、今のところ困難です。それは、ジュニア開発者にアーキテクチャを考えさせるようなものです。ある程度は機能するかもしれませんが、保守や更新が発生するのを見てください。アプリのすべてのエンドポイントに対して異なるセキュリティ実装が得られ、再利用のない15のコードコピーがあり、デッドコードがあちこちにあり、それをどのように解きほぐすかについての本当の考えはありません。注意を払っていても、これらのものを制御下に置くのは困難です。自動をオンにすると、それはさらに難しくなります。