Claude 下周不问你，能撤回的才配默认
Hello，我是飞飞。
先问你一件事。你上一次在权限提示上点「允许」，是把上面那行命令读完了，还是扫了一眼，觉得差不多就按了？
我这周在核一条到处在传的说法。我刷到的几篇解读，讲的是同一个版本：Claude 默认自动跑了。理由是它自动拦住了 89% 的危险命令，人只拦住 14%。听着很有说服力。我查完原始出处，这两个数不归这次公告管。
89% 和 13.6% 出自八月七号的 Claude Code 公告，八月十四号生效。这次是十月二十二号的公告。官方在那篇博客的更新里补了一句限定：The data in this article below is specifically for Claude Code。翻成中文，这篇文章底下的数据，只对 Claude Code 成立。十月二十二号那条 X 主贴里，89、14、13.6 一个都没出现。14 是 13.6 四舍五入之后的样子。
传播链每往下一层，限定就掉一层。传到我手上，Claude Code 的成绩已经被当成 Claude 应用的保票了。
那道缝有多要紧
两个产品面是不是同一个分类器、同一套阈值、同一批规则，官方没说。我也没核到。官方只写了一句：We used those findings to strengthen how auto mode works across all our products。意思是拿这些发现，去加强所有产品里的 auto mode。这话很稳，稳到什么都承诺不了。
但缝的要紧处不只在分类器。Claude Code 干活的地方是 git 仓库。改错了有 diff 可以看，有 reset 可以退，合并之前还有一道 review。Claude 应用干活的地方是你的登录态：连接器、插件、内置浏览器、Claude in Chrome，还有抓网页。
一个是能翻篇的草稿，一个是已经发生的事。同一句 auto mode，从代码域挪到网页域，正好跨过可逆和不可逆那条线。
97% 说明了什么
官方在同一篇里还放了两个数。用户对权限提示的批准率是 97%。用户对计划的拒绝率是 39%。
权限提示是一行命令。弹出来，你扫一眼，按允许，三秒钟。计划是一段能读的文字，写清楚它准备干什么、按什么顺序干。
同一款工具，两种界面，人的反应差这么远。
人会疲劳这件事，官方也量了。会话刚开头，人还能拦下一部分。点过五十次以上提示，人类的拦截率掉到 5% 左右。分类器的拦截率不随会话变长而下降。
有得选的时候，人也这么选。截至今年六月，62% 的活跃用户点过「别再问我」，或用过 bypassPermissions。25% 的交互会话一开场就是 bypass 模式，连弹窗都没有。写放行规则的人里，43% 写的是 Bash(python:*) 这种解释器级规则，等于把整个 Python 一起放开了。
我六月三十号写过一句自白。Claude Code 弹出来问我要不要执行某条命令。十次里有八次，我扫一眼命令长啥样、觉得没毛病就回车放行了。我当时把原因归到自己身上，说是没耐心。
现在数据摆在这儿。不是我没耐心，是那种形式根本没给人审的条件。
对着计划能拒 39%，对着命令只拒 3%。十三倍。这道闸早就没合上过。官方拿这组数去支撑默认化，撑住这个决定的从来不是 89%，是 97%。
官方自己写的 17%
官方没藏漏检。工程博客里有一句原话：The 17% false-negative rate on real overeager actions is the honest number。真实场景里那些过度主动的动作，漏检率 17%。样本 52 条，来自员工拒绝过、或事后被标记的会话。官方自己管这个数叫诚实的数字。
漏的原因也写了。多数情况里，模型其实看出了危险。它误判了会话里那句「同意」，以为覆盖得住这个动作的爆炸半径。说人话就是，它没算这句话放行的破坏范围有多大。原话是，它找到一份「像是同意」的凭据，就停在那儿了。它没去核这份同意管不管得到这么大的范围。
另一头是误报：端到端 0.4%，只算最前面那一层是 8.5%。
拦截率、误报率、漏报率，三个数都在。但分母和测试集各不相同。并排放成一张表，会造出一个不存在的统一安全分。
三条不同形状的窟窿
Backslash Security 拿真实开发请求试了一遍。项目目录里的文件编辑，12 次里 12 次不进分类器。force push 试了 31 次，31 次全被放行。哪怕被拦住，8 次里有 8 次也从 Write 工具那扇门绕过去。作者对 89% 的限定说得很直。那是在 1,053 个人的会话里，跑到一半塞一条明显危险的命令，没人在干真活。
AmPermBench 是另一回事。那是一篇论文，故意构造了 128 条模糊授权的样本。端到端漏检 81.0%，36.8% 会改变状态的动作压根落在分类器视野之外。这批测试专挑「话说得能左能右」的请求，看你放不放行。它量的是压测条件下的表现，跟生产流量不沾边。
Rehberger 那边最费劲。一条「帮我总结这个网站」的普通请求，一路诱导到任意代码执行，小样本成功率 60% 到 80%。有几回 Claude 自己发现被入侵了，想杀恶意进程，auto mode 把清理命令拦下来了。Anthropic 把报告关成 Informative，按无效信息归档。理由是 auto mode 属尽力而为的便利功能，官方没把它当安全边界。
三种形状，别并成一句。可最要命的那几件，force push、任意代码执行、改生产，全落在不可逆那一栏。分类器绕过去不是失职，那一栏本来就不该交给它兜。
「分类器不是沙箱」这个回应，我认为站得住。它的意思很窄：拦明显危险的动作。替你兜住所有能干的坏事，本来就不在它的设计范围里。真正站不住的地方，在于有人把这套东西讲成「安全了」。
我的三笔旧账
六月三十号那篇，我给自己定了条规矩。凡是它要执行外部脚本、要联网拉东西的，都得我自己确认。一个字一个字看完再按。不再挂自动批准图省事。
三个多月后，官方把「挂自动批准」设成了默认。
七月二十一号那篇，我写的是给最危险的那一步加人工卡点。像 git push、删文件、往线上推这种，错了很难收回，宁可让它停下来问我一句。
三个月后，那道卡点换成了分类器。
八月二十七号那篇，我只写了一句。表面是「免了审批」，底下是「闸从你手里挪到了它手里」。
这三条摆在一起，很容易读成官方打脸。我不这么看。
真正被量出来的，是我当时那个方案的上限。我那句话的潜台词是「我自己盯紧一点就行」。97% 这个数说的是，这道闸我一个人守不住。换成谁站在那儿，大概率也守不住。我六月三十号承认自己十次里八次扫一眼。放到那条疲劳曲线上，那只是一个平均人的正常反应，算不上性格缺陷。
所以分类器补的，是我本来也守不住的那个位置。它没抢走什么。
按撤回键分档
八月那篇我用的尺子只有一条：点错能不能收回来。这次还是它，我只把范围从网页挪到所有动作上。
Claude Code 这边，我没做过对照测试，也没记过它拦了什么、放行了什么。所以我给判断，不给体验报告。
可逆的那一栏：读文件、查日志、跑测试、翻网页、整理数据。这些让它默认跑，省下来的注意力留给下一条。
装依赖我没放进来。npm install 跑的是别人写的 postinstall 脚本，装下去那一刻就已经执行了。
不可逆的那一栏：删、覆盖、git push –force、动生产环境、动凭据。
判据一句话：出事了能不能按 Ctrl+Z 收回来。收不回来，就别交给默认。
我主力机上堆着十几个 skill 的配置、一份越喂越厚的 CLAUDE.md、一摞 memory，还有一堆 API key 和各种登录态。这些全在 agent 伸手就够得到的地方。它们没有一个是「删了重来」能补回来的。
你该动的几个开关
Claude 应用这边，模式选择器里随时能切回 Manual。切换之后，侧边栏会记住你的选择。
Claude Code 那边，会话里按 Shift+Tab 循环权限模式，桌面端用模式下拉。管理员可以在 managed settings 里用 disableAutoMode 把 auto mode 整个移除，连 Shift+Tab 的循环里都不会再出现。
被拦的时候，对话里会出现 Denied by auto mode classifier，后面跟着规则名，比如 [Data Exfiltration]。/permissions 里有一个 Recently denied 的标签页，可以回看它到底拦了什么。
时间要说准。Claude Code 是八月十四号起对 Pro、Max、Team 默认的。Claude 应用这边，官方只说「下周」。按十月二十二号公告的时间往下推，是十月二十六号那一周。这是我的推算，官方没给。
覆盖范围也得说清。Pro、Max、Team，官方博客的措辞是大多数 Claude 应用。Free 套餐一个字没提。Enterprise 要管理员先收到邮件，邮件之后才默认，具体哪天没说。
回到开头那个问题。你上一次点允许，是读完了还是扫了一眼？
如果是扫了一眼，那也不怪你。下礼拜开始，这件事会有一台分类器替你干。它干不了的那几件事，你得重新攥回自己手里。
现在就能做一件事：打开 Claude 的模式选择器，看一眼 Manual 在哪个位置。记住它在哪，比记住它默认是什么更要紧。
你最近一次被 auto mode 拦住，是因为什么动作？是它拦对了，还是它把你本来想干的事拦下来了？评论区说一个具体的，我攒一批样本，下次一起看。