Совсем недавно Anthropic сделал permission режим auto режимом по умолчанию в CLI для индивидуальных планов. Мотивация простая и понятная - снизить порог входа для пользователей, дать более приятный опыт со старта и сжигать лимиты подписки быстрее (за счет дополнительного вызова модели на каждый вызов bash команды).

Но есть и обратная сторона медали. Многие пользователи благодаря этому не вникают в permission систему вообще и не задумываются об изоляции локального окружения. Все и так выглядит безопасным - умная модель сама оценивает каждую выполняемую команду, что тут может пойти не так? Да очень много чего, режим auto не может защитить от многих векторов атаки и для адекватной работы требует предварительной настройки в виде описания своего рабочего окружения.

А в ручном режиме разве лучше и безопаснее? Конечно нет, потому что среднестатистический пользователь на порядок хуже может проанализировать риски исполняемых команд и принять ответственное решение. НО, при ручном режиме, пользователь для избавления от неудобства постоянных ручных ревью получал мотивацию разобраться с permission системой и возможностями изоляции окружений. И прочитать в документации, что auto режим не делает использование Claude Code безопасным от слова совсем.

Для любопытных поделюсь простым и элегантным примером одного из возможных векторов атаки, который отлично работает в режиме auto: https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/

Берегите себя и свои агентские окружения!