Gynga AI Topics
JA EN
English

Claude Code、権限確認をAIに譲る「auto mode」を8/14デフォルト化

TL;DR

  • Anthropicは8月14日から、Claude Pro・Max・Teamプランで権限確認をAI分類器が代行する「auto mode」をデフォルト化します。対照実験での危険なコマンド検出率は人間13.6%に対しauto mode 89%でした。(ITmedia)
  • 同時にmacOS/Linux向けにセッション間でテキストメッセージを送り合う「cross-session messaging」も追加され、複数ワークツリーの並行作業を調整する手間を減らします。(ITmedia)
  • ツール呼び出しをコードとして扱う「programmatic tool calling」がJSON方式と14モデル中11モデルで同等以上だったという評価論文も公開され、自前のエージェント基盤の実装選択に材料が増えました。(arXiv)

本命: Claude Code「auto mode」が8/14にデフォルト化

Anthropicは8月7日(現地時間)、Claude Codeのコマンド実行前の権限確認をAIが自動判定する「auto mode」を、8月14日からPro・Max・Teamプランでデフォルトにすると発表しました。ブロック対象は取り消し不能な操作、破壊的な操作、ユーザー環境外に影響する操作です。ブロックされるとClaudeは安全な代替手段を自ら探すか、ユーザーに確認します。3回連続、または1セッションで20回ブロックされると手動承認モードにフォールバックします。分類器実行に伴う追加トークン課金は、8月7日付でPro/Max/Teamプランで撤廃されました。(ITmedia)

技術的読み

根拠は調査会社経由で集めた1053人の有償テスターによる対照実験です。作業中に危険なコマンドを含む確認画面を1度挿入したところ、人間のテスターが承認を拒否したのは13.6%にとどまった一方、auto modeは同じコマンドの89%をブロックしました。セッションが長引くほど人間の検出率は下がり、50回以上の確認を経ると約5%まで低下しましたが、auto modeの検出率はセッション長に関わらず横ばいでした。安全性検証では、Apollo Researchのレッドチーミングで分類器の見逃し率が12%から7%に改善したこと、Trajectory Labsによる間接プロンプトインジェクション評価(72シナリオ×10試行=720回の攻撃)で、auto mode下のClaude Fable 5・Opus 5・Sonnet 5への成功例がゼロだったことが挙げられています。比較対象の、OpenAIのCodex上でAuto-reviewモードで動作する「GPT-5.6 Sol」では5.83%、Full Accessモードでは19.03%の攻撃が成功したとされます。Anthropic自身も、auto modeは分類器依存でリスクを完全には排除できないとし、本番インフラに関わる重要な変更は引き続き人間の確認を推奨しています。

ビジネス的読み

コスト構造の面では、分類器トークンの課金撤廃は明確な変化です。運用負荷の面では、Anthropicが挙げた「権限確認画面の97%が承認される一方、作業計画への拒否率は39%」という数字が重要です。個別コマンドの確認は既にほぼ機械的に承認される儀式と化しており、実際にユーザーが判断を下しているのは作業計画の段階だという実態を示唆しています。独自資産の面では、Anthropicは自社の分類器と対照実験データという「モデル上流の解釈」を安全性という体験差別化要素として内製・吸収しました。市場ポジショニングでは、間接プロンプトインジェクション評価で名指しされたOpenAI Codexが直接の比較対象であり、「エージェントの安全な自律性」自体が製品差別化点になりつつあります。Anthropicは本番導入企業としてAdobe、Nuro、Gusto、Garner Healthを挙げ、Teams・Enterpriseでのauto mode利用者は作成したプルリクエストが約25%多いとしています。

逆張り・見落とし

Enterpriseプラン、Claude API、AWS上のClaude Platform、Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundryでは当面オプトインのままで、管理者向けの確認期間を経て今後1カ月以内にデフォルト化される計画です。個人・小規模チーム向けプランが先行し、企業向けは検証期間を置くという順序は、Anthropicがリスクの非対称性を意識した結果とも読めます。「約25%多いPR」はTeams/Enterprise内でauto mode利用者と非利用者を比較した相関に過ぎず、PRの質や採用率までは示されていません。

シグナル評価は中〜高、確信度は中です。危険なコマンドの検出改善は対照実験で裏付けられていますが、720回の攻撃評価は限定条件下であり、実運用全般の安全性までは証明しません。

含意とポジション

Claude Codeで権限確認を都度目視・承認しているなら、8月14日以降その手間の多くが分類器に置き換わります。これは属人的な確認作業を分類器へ外部化した例であり、この種の安全性機能は今後どのベンダーでも横並び化していく可能性が高いものです。したがって自社の差別化要素として設計に依存させるより前提のインフラとして受け取り、防御線は問題選定と現場での反復速度に置く判断が引き続き妥当です。一方で本番インフラに関わる変更については、Anthropic自身が人間の確認を推奨している以上、auto modeを万能な安全装置として扱わない運用ルールを自分のワークフローに明記しておく価値があります。

その他の重要トピック

セッション間メッセージング(cross-session messaging)

Claude Code v2.1.224以降、macOSとLinux(WSL 2上のLinux含む)で複数セッション同士がテキストメッセージを送り合える機能が、条件を満たす環境で設定不要で有効になりました。あるセッションの変更が別セッションの作業に影響する場合、Claudeが自律的に相手へ通知します。同一マシン上のセッションはAnthropicのサーバを経由しない直接通信、別マシンやWeb版とのやり取りはAnthropicサーバ経由の「Remote Control」接続が必要で、この場合は相手からのメッセージへの返信のみ可能です。やり取りはプレーンテキストのみで、会話履歴やファイルの共有、権限確認の代行、設定変更は禁じられています。(ITmedia) 技術的には、マルチエージェント運用で人間が仲介していた「あるセッションの発見を別セッションに伝える」作業を自動化するもので、実行中のツールを中断せずツール呼び出しの合間にメッセージが読まれるなど、既存の権限モデルの内部に統合された設計です。ビジネス的には、複数ワークツリーを並行運用するという特定のワークフローに最適化した機能であり、対象となる利用者層は限定的です。so what: 同一リポジトリを複数ワークツリーで並行編集する運用をしているなら、進捗確認や引き継ぎの手作業を減らせます。単一セッション中心の利用なら、今は関係のない機能です。

Bitter Lesson of Tool Calling(programmatic tool calling評価)

ツール呼び出しをJSON形式ではなく型付きPythonスタブとして提示し、モデルがコードとして呼び出す「programmatic tool calling(PTC)」を、14モデルでBFCL v4ベンチマーク上でJSON形式のtool callingと比較した論文です。PTCは14モデル中11モデルでJSON方式と同等以上の性能を示し、GPT-5.6ファミリーではJSON方式ベースラインに対し10.6%の改善が確認されました。並列fan-outの条件でも14モデル中13モデルで同等以上、コンテキストが劣化する条件下でもJSON方式が平均2.3%性能低下する一方、PTCは安定していました。(arXiv) 技術的には、ツール呼び出しの実装方式そのものが性能差を生むという、モデル選定だけでは見えない変数を示した点が重要です。ビジネス的には、自作のエージェント基盤で使っているなら実装方式の見直しだけで性能改善が得られる可能性がある一方、主要ベンダーの公式SDKがPTCを標準実装として吸収すれば、この工夫自体の価値は消えます。so what: JSON方式のtool callingを自前基盤で使っているなら切り替えを検証する価値がありますが、差別化要素として作り込むのではなく、公式SDKの対応状況を見ながら軽く採用する程度にとどめるのが妥当です。

AV-AIVAT — エージェント評価コストの統計的削減

2人プレイの不完全情報ゲーム(Heads-Up No-Limit Hold’em)でエージェントの強さを比較する際、必要な対局数が事前にわからない問題に対し、証拠が十分になり次第評価を打ち切れる統計手法「AV-AIVAT」を提案する論文です。分散削減手法AIVATは15のLLMエージェント構成・71,439ハンドのペアデータで中央値54倍の分散削減を示すものの、いつ打ち切るべきかは示しません。AIVATを逐次的な信頼区間(Confidence Sequences)と組み合わせたAV-AIVATは、95%信頼水準・目標精度±1ビッグブラインドの条件下、生の対局結果ではAIVAT補正後より中央値で74倍のハンド数が必要でした。(arXiv) 技術的には対象がポーカーという特定の不完全情報ゲームに限定されており、汎用のエージェント評価にそのまま転用できるわけではありません。so what: この論文自体はポーカーに閉じていますが、根底にあるのは「少ない試行回数で統計的に十分な証拠を得る」逐次検定+分散削減の考え方です。モデル切替やエージェント構成のA/Bテストにかかる検証コストを下げる手法として、汎用化を検討する価値があります。

TRAJDEBUG — 長時間エージェント軌跡の致命的エラー特定

長時間動作するエージェントの失敗軌跡から、最終的な失敗の原因となった最初のエラーステップを特定するフレームワーク「TrajDebug」の論文です。Tau2BenchとSWE-Bench Proから486件の失敗軌跡を手動で注釈したベンチマーク「TrajErrBench」を構築し、既存手法を上回る性能を示しました。(arXiv) 技術的には、長い軌跡の中でエラーの証拠が離れた指示・観測・文脈に分散している問題と、複数の局所的エラーのうちどれが最終失敗に真に寄与したかを切り分ける問題の両方に取り組んでいる点が具体的です。ビジネス的には、エージェントのデバッグ・監視ツールという領域自体が独立した製品カテゴリになりつつあることを示しており、「なぜこのエージェントは失敗したか」を人手で追わずに特定する需要の存在を裏付けます。so what: 自社でエージェントを本番運用しており失敗ログの人手調査に時間を取られているなら、このエラー系譜追跡の考え方は評価・監視の仕組みに取り入れる価値があります。ただし論文段階のベンチマークで、コードとデータは公開予定にとどまる点には留意してください。

今週試すなら / 無視していい hype

  • 試すなら: 8月14日のauto modeデフォルト化に先立ち、現在Claude Codeで権限確認をどう運用しているか(全承認/都度確認)を棚卸しし、本番インフラに関わる重要な変更は人間が確認する、という運用ルールを明記しておくこと。
  • 無視していい:「約25%多いPR」という数字を、auto mode導入が生産性を25%押し上げる効果として一般化すること。

Sources