Dal 14 agosto le nuove sessioni di Claude Code aperte dagli abbonati Pro, Max e Team partiranno in auto mode, la modalit� in cui l’agente esegue le proprie azioni senza chiedere conferma a ogni passaggio. Chi ha gi� impostato a mano un default diverso ricever� una richiesta una tantum di passare alla nuova impostazione, mentre chi ha un default bloccato non vedr� cambiare nulla. Anthropic ha inoltre smesso, con effetto immediato, di conteggiare agli utenti di quei tre piani i token consumati dal classificatore che governa la modalit�.
In uno studio controllato su 1.053 tester professionali pagati, la revisione umana ha intercettato il 13,6% dei comandi pericolosi (143 su 1.053), il classificatore l’89% (937 su 1.053). Nel confronto diretto la modalit� automatica ha bloccato 800 comandi che il tester aveva approvato, mentre gli umani ne hanno fermati sei che il classificatore lasciava passare. Il divario si allarga con la durata della sessione: all’inizio i tester bloccavano circa il 17% dei comandi pericolosi, dopo cinquanta richieste di permesso gi� viste la quota scendeva intorno al 5%, e il tasso di blocco automatico restava invece piatto.
Il meccanismo � quello mostrato a marzo con la versione di prova. Ogni chiamata a strumento passa per un classificatore che blocca le azioni irreversibili, distruttive o rivolte fuori dall’ambiente dell’utente; quando qualcosa viene fermato, Claude di norma trova da solo una strada pi� sicura oppure chiede il via libera. Se non riesce a procedere, con tre blocchi consecutivi o venti in una sessione, Claude Code torna alle approvazioni manuali.
L’abitudine al clic sui permessi
Gli utenti approvano il 97% delle richieste di permesso in Claude Code. Il termine di paragone che Anthropic porta � un’altra finestra di dialogo: quando l’agente propone un piano di lavoro, il rifiuto arriva al 39%, mentre sulle singole richieste di permesso si ferma al 3%. Una revisione cos� sistematicamente favorevole somiglia a un gesto meccanico, e lascia il costo della decisione, dozzine o centinaia di scelte di sicurezza al giorno, su chi in quel momento sta lavorando ad altro.
Lo stesso quadro emerge dai file di configurazione. A giugno 2026 il 49,5% degli utenti attivi della CLI aveva creato a mano almeno una regola di autorizzazione per Bash: il 5% consente qualunque comando di shell, un altro 43% ha regole sull’interprete come Bash(python:*) o Bash(node:*), che nella pratica equivalgono. La quota cresce di circa cinque punti ogni cinque settimane. Il 62% degli utenti ha usato bypassPermissions o il pulsante che disattiva la richiesta su Bash, e un quarto delle sessioni interattive parte gi� in modalit� di aggiramento dei permessi.
In auto mode le regole di permesso continuano a valere prima del classificatore, con una eccezione: quelle abbastanza larghe da autorizzare l’esecuzione di codice arbitrario vengono accantonate, perch� consentirebbero ai comandi di saltare del tutto il controllo. I file di configurazione non vengono modificati e le regole tornano attive nel momento in cui si cambia modalit�.
Un secondo confronto arriva dalle sessioni reali. Tra maggio e giugno 2026 Anthropic ha rivalutato con un modello le sessioni che la propria pipeline di sicurezza aveva segnalato, prese solo dagli account che hanno acconsentito all’uso dei dati, misurando su due scale da 0 a 10 la gravit� del danno e quanto esplicitamente l’utente avesse chiesto quell’azione. Al livello di gravit� 7 e oltre, quello che comprende per esempio la cancellazione di righe da un database di produzione, il 6,3% delle sessioni ad approvazione manuale conteneva un’azione dannosa che l’utente non aveva richiesto, contro il 2,4% delle sessioni in auto mode.
Le verifiche esterne sul classificatore
Al lavoro sul classificatore ha partecipato Apollo Research, azienda britannica di sicurezza dell’intelligenza artificiale, con un progetto pilota di due settimane in cui attacchi sintetici sono stati iniettati dentro traiettorie di lavoro reali, su tre insiemi di dati dedicati a fallimenti generici, esfiltrazione di dati e minacce alla sicurezza. L’irrobustimento � passato soprattutto dal dare al classificatore pi� contesto sull’ambiente che deve proteggere: visibilit� del repository, stato di git, regole di trattamento dei dati. Nel test successivo, su un insieme di attacchi tenuto da parte a cui Anthropic non ha mai avuto accesso, il classificatore ha intercettato circa met� degli attacchi che prima gli sfuggivano, perdendone circa il 2% di quelli che prima fermava. Sui due insiemi il tasso di errore � sceso dal 12% al 7%, valore che la stessa Anthropic invita a non leggere come tasso di errore sul traffico reale, visto che quegli attacchi sono costruiti apposta per trovare le falle.
La valutazione sulla prompt injection � stata affidata a Trajectory Labs, che ha provato 72 scenari di iniezione indiretta, ripetuti dieci volte ciascuno, sulle versioni pubbliche di Claude Code e Codex disponibili al 17 luglio 2026 e con la stessa integrazione browser per entrambi. Nessuno dei 720 tentativi � andato a segno contro Fable 5, Opus 5 e Sonnet 5 in auto mode; contro GPT-5.6 Sol nella modalit� Auto-review di Codex la percentuale di successo � stata del 5,83%, che sale al 19,03% in Full Access. Anthropic osserva che quel 5,83% � superiore anche allo 0,09% medio registrato dai propri modelli pi� recenti in bypassPermissions, cio� senza tutele aggiuntive. Gli attacchi erano stati messi a punto contro Claude Opus 4.7, modello escluso dal confronto, quindi tutti quelli in prova li hanno affrontati come inediti.
Sessioni pi� lunghe e perimetro della modifica
Sul versante della resa, la modalit� automatica permette a Claude di lavorare senza interruzioni per tratti pi� lunghi, cosa che rende praticabile lasciare in esecuzione per ore i modelli pensati per compiti estesi come Claude Opus 5. Fra gli utenti Team ed Enterprise che l’hanno adottata, Anthropic dichiara circa il 25% di pull request in pi�, e cita Adobe, Nuro, Gusto e Garner Health fra le aziende che la usano gi� come impostazione di produzione; � anche il default per l’uso interno di Claude Code in Anthropic. Boris Cherny, a capo di Claude Code, ha scritto su X: “Io e il team usiamo solo la modalit� auto, e lo facciamo da mesi. Non riuscirei a immaginare di tornare alle richieste di permesso”.
Il cambio di default non tocca per ora Claude Enterprise, l’API, Claude Platform su AWS, Amazon Bedrock, l’Agent Platform di Google Cloud e Microsoft Foundry, dove la modalit� resta facoltativa per dare agli amministratori il tempo di valutarla: Anthropic prevede di renderla predefinita anche l� entro un mese, insieme all’azzeramento del costo in token del classificatore, e nel frattempo gli amministratori Enterprise possono attivarla dalle impostazioni gestite. L’azienda accompagna il cambio con l’avvertenza che un classificatore non azzera il rischio e che le modifiche destinate alla produzione vanno comunque riviste da una persona. Chi preferisce continuare ad approvare a mano pu� fissare un default diverso prima del 14 agosto.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
