Anthropic torna modo automático padrão no Claude Code em 14 de agosto

Anthropic troca cliques humanos por bloqueios automáticos

O teste colocou um comando claramente perigoso no lugar de uma solicitação comum durante cada sessão. Apenas 13,6% dos participantes recusaram a ação nociva. O modo automático bloqueou 89% dos casos.

A comparação sustenta a tese central da empresa: pedir que usuários confirmem cada ação não garante segurança. Simon Willison, que analisou o anúncio, chamou atenção para a “fadiga de confirmação”. Usuários podem clicar em “OK” tantas vezes que deixam de avaliar o risco.

A mudança não libera o recurso para todos os clientes do Claude Code. A Anthropic anunciou o padrão automático para os planos Pro, Max e Team, sempre em novas sessões. O anúncio não informa uma ampliação para outros planos.

O teste também deixa uma falha explícita. O modo automático não teria impedido 11% das ações perigosas. A Anthropic ainda precisa mostrar como o recurso lida com operações destrutivas, como apagar arquivos errados ou limpar um banco de dados de produção.

Teste contra injeção teve resultado melhor, mas é interno

A empresa contratou a Trajectory Labs para avaliar ataques de injeção indireta. O grupo testou 72 cenários mantidos fora da avaliação da Anthropic contra versões públicas mais recentes de Claude Code e Codex disponíveis em 17 de julho de 2026.

No Claude Code, nenhum dos 720 ataques teve sucesso quando Claude Fable 5, Opus 5 ou Sonnet 5 rodaram com o modo automático. Esse resultado cobre os cenários escolhidos pela avaliação. Não prova que o agente ficará protegido contra qualquer instrução maliciosa.

A própria Anthropic apresentou os números. Simon Willison pediu confirmação independente antes de aceitar a conclusão de que a empresa resolveu o problema. Cat Wu afirmou que os riscos de injeção de prompt e exfiltração de dados ficaram “muito mais baixos que os de um revisor humano médio”, segundo o relato publicado por Willison.

O caso de um pacote malicioso mostra a dúvida restante. Um pacote de terceiros poderia instruir o agente a baixar modelos com uvx fetch-model-files . e depois rodar uv run pytest; o primeiro comando poderia chamar outro pacote, criado para roubar dados disponíveis. Willison disse não saber como qualquer versão do modo automático impediria esse ataque.

A discussão acompanha uma preocupação maior com agentes de programação: eles executam ações com acesso a arquivos, ferramentas e dados. Thariq Shihipar resumiu a ambição da Anthropic ao dizer que a empresa deveria ter chamado o anúncio de “defeating the lethal trifecta”. Para Willison, porém, o resultado ainda exige testes externos.