Dal 14 agosto Claude Code attiva Auto Mode di default sui piani Pro, Max e Team. L’agente smette di chiedere conferma a ogni passo e si ferma solo quando un classificatore interno valuta l’azione come pericolosa o irreversibile. I clienti Enterprise devono ancora attivarlo a mano.

Perché ti riguarda. I numeri ribaltano l’istinto. In uno studio controllato con 1.053 tester, i revisori umani hanno intercettato il 13,6% dei comandi pericolosi. Il classificatore di Auto Mode ne ha presi l’89%. I team con Auto Mode attivo hanno prodotto circa il 25% di pull request in più, perché l’agente non si ferma ad aspettare un clic.

Un audit indipendente di Trajectory Labs ha testato 72 scenari di prompt injection, dieci volte ciascuno. Su 720 tentativi contro i modelli Claude in Auto Mode, zero sono passati. Su GPT-5.6 Sol in Codex Auto-Review, il 5,83% è andato a segno.

Anthropic raccomanda comunque la revisione manuale per le modifiche all’infrastruttura di produzione. Il classificatore riduce il rischio, non lo azzera.

È il capitolo con i numeri concreti di un annuncio che avevamo anticipato a luglio. Chiude una settimana di rilasci su Claude Code (credential masking, isolamento sessioni, cross-session messaging, spend-limit) che porta il tool da chat versatile a runtime di produzione. La governance si sposta dal manuale all’automatico.

Nel dettaglio

Auto Mode esiste da tempo come opzione. L’agente lavora da solo e un classificatore valuta ogni azione prima di eseguirla. Se l’azione è sicura e reversibile, procede. Se è pericolosa o irreversibile, chiede conferma. Finora il default era l’approccio manuale: Claude Code si fermava a ogni passo e aspettava il tuo clic.

Il cambio di default dal 14 agosto si appoggia a due evidenze.

La prima è interna. Anthropic ha condotto uno studio controllato con 1.053 tester pagati più red-teaming interno. I revisori umani che approvavano a mano hanno intercettato il 13,6% dei comandi pericolosi. Il classificatore di Auto Mode ne ha intercettati l’89%. I team con Auto Mode attivo hanno generato circa il 25% di pull request in più, perché l’agente non si ferma ad aspettare.

La seconda è esterna. Trajectory Labs, un’azienda di sicurezza indipendente, ha testato 72 scenari di prompt injection, dieci volte ciascuno. I modelli Claude (Fable 5, Opus 5, Sonnet 5) in Auto Mode hanno bloccato tutti e 720 i tentativi. GPT-5.6 Sol in Codex Auto-Review ha lasciato passare il 5,83% degli attacchi.

Due aneddoti operativi di Anthropic: durante una sessione lunga, Auto Mode ha fermato Claude dal caricare dati confidenziali su una pagina pubblica. In un’altra, ha ucciso circa 2.000 processi che avrebbero interrotto job di training su GPU in corso.

Il paradosso che Anthropic riconosce. Meno spesso il developer interviene, più conta la sua supervisione quando lo fa. Ma costruire una comprensione profonda di un progetto generato in gran parte da Auto Mode senza coinvolgimento umano diventa più difficile. Anthropic lo scrive esplicitamente: per le modifiche all’infrastruttura di produzione, la revisione manuale resta la raccomandazione.

I limiti. I numeri vengono da test di Anthropic, con campione e metodologia scelti dalla stessa azienda che vende il prodotto. L’audit di Trajectory Labs è indipendente ma copre solo prompt injection, non altri vettori. Auto Mode non è disponibile su Amazon Bedrock, Google Cloud Agent Platform o Microsoft Foundry: chi passa per quei canali non ne beneficia. Il classificatore consuma token, ma Anthropic non li addebita.

Cosa significa per chi costruisce. La governance efficace non si ottiene con regole scritte che il modello può ignorare (lo avevamo misurato: i modelli frontier seguono le policy document meno di quattro volte su dieci). Si ottiene con un classificatore che guarda l’azione prima che parta. È lo stesso principio delle temporal policies e dei rate limit di AgentCore: un controllo eseguibile, non una policy document.

Se vuoi dare strumenti e confini a un agente tuo, la lezione del corso sugli strumenti e i loro limiti è il punto di partenza: decidere cosa l’agente può fare, cosa no, e come intercettare il confine prima che lo attraversi.