claude code 用户对 93% 的权限提示表示同意。我们构建了分类器来自动做出一些决策，从而在提高安全性的同时减少审批疲劳。以下是它能够识别和遗漏的内容。
Claude Code 权限机制与 Auto Mode 解析
默认情况下，Claude Code 在执行命令或修改文件前都会请求用户确认。这种机制在安全性上是有效的，但也带来了频繁点击“批准”的问题。随着使用次数增加，用户容易产生“审批疲劳”，逐渐忽视每次操作的具体内容，从而削弱安全保障。
目前主要有两种方式来缓解这一问题：
沙箱模式（Sandbox）：通过隔离运行环境限制潜在风险，但配置复杂，每新增能力都需要额外设置，且涉及网络或主机访问时容易失效
跳过权限（--dangerously-skip-permissions）：完全取消审批流程，执行效率最高，但几乎不具备安全防护能力
在实际使用中，手动审批处于两者之间，但数据显示用户约有 93% 的请求会被直接批准，说明这一机制在效率与安全之间并未取得理想平衡。
Auto Mode：自动化审批的折中方案
Auto Mode 是 Claude Code 引入的一种新机制，核心思路是通过模型驱动的分类器替代人工审批，在保证效率的同时尽量控制风险。
目标很明确：
自动拦截不符合用户意图的危险操作，同时允许安全操作无感执行。
工作机制：双层防护
Auto Mode 采用输入层与输出层两道防线：
1. 输入层：Prompt Injection 检测
在工具返回结果进入模型上下文前，系统会扫描内容（包括文件读取、网页请求、Shell 输出等），识别潜在的提示词注入攻击。
一旦检测到可疑内容，会自动插入警告，引导模型：
对该内容保持怀疑
优先遵循用户原始指令
2. 输出层：行为分类器（Transcript Classifier）
在执行任何操作前，分类器会对行为进行评估，替代人工审批。
其设计为两阶段：
阶段 1（快速过滤）：单 token 判断是否可能存在风险（倾向保守）
阶段 2（深度推理）：仅对被标记的行为进行详细分析，降低误判
这种结构保证了性能与准确率的平衡：大多数请求无需进入复杂推理阶段。
风险模型：四类潜在问题
Auto Mode 重点防范以下四类风险：
过度主动（Overeager Behavior）
模型试图“帮更多”，但超出用户授权范围
例如：自动删除资源、使用未授权凭证理解偏差（Honest Mistakes）
错误判断操作影响范围
例如：误将共享资源当作私有资源提示词注入（Prompt Injection）
外部内容诱导模型执行恶意操作模型偏离（Misalignment）
模型执行与用户目标无关的行为（当前较少见）
无论来源如何，策略统一：阻止该操作执行。
典型拦截场景
Auto Mode 主要针对以下高风险行为：
批量删除远程分支（用户指令不明确）
扫描环境变量获取凭证
根据模糊描述自动选择操作对象
将数据上传至外部服务（可能泄露信息）
绕过安全检查执行部署
这些行为的共同特点是：具备潜在破坏性，且未被明确授权。
三层权限决策体系
Auto Mode 将操作划分为三个层级：
Tier 1：安全白名单
无需审批的操作，例如：
文件读取
代码搜索
导航类操作
同时会禁用一些高风险“通配权限”（如任意 shell 执行）。
Tier 2：项目内文件操作
在当前项目目录内的修改默认允许执行，因为可以通过版本控制进行回溯。
Tier 3：分类器评估
以下操作进入最终审核：
Shell 命令
外部网络请求
项目外文件操作
子代理调用
分类器判断逻辑
分类器并不是简单匹配命令文本，而是评估真实影响：
组合命令（如
&&）会整体分析脚本执行会解析最终行为
不允许通过“包装”隐藏危险操作
同时，在判断是否允许执行时，采用严格的用户意图识别策略：
只有明确授权的操作才被允许，模型自行推断的行为默认视为未授权。
性能与效果
在实际测试中：
误拦率（FPR）：约 0.4%（较低）
漏拦率（FNR）：约 17%（针对复杂过度行为）
需要注意：
相比完全跳过权限，这是明显提升
但相比人工逐条审批，仍存在风险
因此 Auto Mode 更适合：
日常开发任务
低风险自动化流程
而不适用于：
生产环境高风险操作
强安全要求场景
关键设计取舍
1. 不读取模型输出与工具结果
分类器仅基于：
用户输入
实际执行命令
这样可以避免模型“说服”分类器做出错误判断，同时降低提示注入风险。
2. 双阶段分类
通过“先过滤、再推理”：
提高效率
降低成本
保持较高安全性
3. 拒绝后自动重试（Deny-and-Continue）
当操作被拒绝时：
模型会尝试寻找替代方案
连续失败达到阈值才交由人工处理
这样可以避免频繁中断流程。
