Claude Codeの89%が示す、権限プロンプトを減らす論拠

August 14, 2026、AnthropicはPro、Max、TeamプランのClaude Codeユーザー向けにauto modeをデフォルトにする。テストでは、その分類器が危険なコマンドの89%を検知した。手動承認に頼ったユーザーが検知できたのは約14%だった。この結果は、監督を担う人間のほうが弱い安全チェックだった以上、エージェントにより大きな自律性を与える根拠となる。

自動レビューが稼働時の自律性を支える

auto modeは監督を逆転させる。Anthropicは、別の分類器にClaude Codeのシェルコマンドとアクションをレビューさせることで、より長く中断なしに稼働させる。このレビュー役は、習慣化したユーザーを上回る可能性がある。より難しい問いは、各ツール、認証情報、サンドボックス、下流サービスが、エージェントをそのタスクに実際に必要な権限へと制限できているかどうかだ。

AnthropicはMarch、権限レベルの判断を担わせつつ、大量のファイル削除など破壊的な操作をブロックするためにauto modeを導入した。同社はいま、この機能を中断の間隔を長くし、複数時間に及ぶタスクをより現実的にするものとして位置付けている。自動レビューは単に安全チェックを1つ置き換えるだけではない。人が不在でもClaude Codeにより長く作業する時間を与える。

ユーザーは依然として権限モードを切り替えられ、管理対象アカウントの管理者はデフォルトを固定するか、auto modeを完全に無効化できる。それでもAnthropicは、デフォルトを変えることで通常の挙動を変える。大半のユーザーが使うのは、理論上設定可能な製品ではなく、設定されたままの製品である。

反復が承認を儀式に変える

Anthropicは有料ユーザー1,053人を対象に手動承認をテストした。参加者が明らかに危険なテキストのみのコマンドを検知した割合は13.6%であり、プロンプトが増えるにつれてその成績は悪化した。

反復されるプロンプトは、承認が進捗のために支払う日常的なコストだとユーザーに教え込む。するとインターフェースは、ますます慣れきった人間に、無害な数十件のリクエストから1件の危険なリクエストを見分けるよう求める。セキュリティにはボタンが与えられ、疲労にはクリックが与えられる。

分類器の結果は、人がすべての重大なアクションを承認すべきだという論拠を弱める。定型的な人間のレビューは例外的に弱い防御になりうる一方、調整された自動レビューは、有用な作業を止めずに制約を維持できる。

OpenAIも、長期的なタスク向けにAgents SDKへネイティブサンドボックスと分布内テストハーネスを追加した際、別の方向から同じ設計上の問題にたどり着いた。モデルはアクションを選べるが、環境がそのアクションをどこで実行でき、何に影響を与えられるかを制限する。

CISAは、より洗練されていない形でこの教訓を示した。同庁は、民間のクラウドアクセスキーやその他の認証情報が露出した原因を、公開GitHubリポジトリをめぐる弱い管理策に帰した。コマンドレビュー担当は、組織がすでに過剰に広く、長期間有効で、あるいは公開してしまった認証情報を狭めることはできない。

ツール権限が影響範囲を決める

エージェントがコードを書き、データベースを照会し、ワークフローを起動するとき、その力を与えるのは周囲のシステムである。モデルがアクションを選び、ツールと認証情報がそのアクションの到達範囲を決める。

AppleはAnthropicとOpenAIのコーディングエージェントをXcodeに取り込み、MCPサポートを追加した。統合のたびに機械的な呼び出し元へ公開されるソフトウェア機能は増え、その機能の背後にある権限はエージェントのセキュリティ境界の一部になる。

したがって管理者は、エージェントが到達できるリポジトリ、データベース、環境、アカウントを指定しなければならない。認証情報の有効期間、アクションを委任したアイデンティティ、その委任を取り消せる者も指定する必要がある。能力の高いエージェントでも、認証情報が狭く限定されていれば到達範囲は限られる。慎重なエージェントでも、管理者トークンを持てば、たった1つのミスで管理者級の結果を招く。

自動レビューの精度が上がるほど、人が見る前に過剰に広い認証情報が許可しうる被害は大きくなる。

プロンプトインジェクションは、この区別を具体的なものにする。攻撃者は、エージェントが読むコード、文書、メッセージに指示を埋め込める。AnthropicのClaude Coworkテストは、汎用エージェントがコーディングの先へ進むなかで、このリスクを浮き彫りにした。スコープを限定した認可境界なら、モデルが注入された指示を受け入れても、操作されたリクエストを拒否できる。

これらの管理策は互いに代替するのではなく、重なり合う。分類器は提案された操作を検査し、サンドボックスは実行を封じ込め、スコープを限定した認証情報は過剰なアクセスを拒み、下流サービスは独自のポリシーを適用する。それぞれ異なる失敗を捉える。

連携が1つのセッションを運用面へ拡張する

Anthropicは、Claude Codeセッション同士のメッセージ送信、調査結果の共有、質問、作業の連携も有効化した。Anthropicによると、変更があるセッションのタスクに影響する場合、1つのセッションは別のセッションに連絡できる。連携されたタスクは、1人のユーザー、1つのセッション、1つのコマンドではなく、複数のセッションにまたがれるようになった。

Cursorは別の方向に連鎖を延ばす。Cursor Automationsはエージェントを起動できる。誰かがコードベースを変更したとき、Slackメッセージを送ったとき、あるいはスケジュール時刻に達したときだ。タイマーは人を待たないため、プロンプト疲れにも悩まされない。

これらの製品が実装しているのは、依然として完全な自己主導型エージェンシーではなく、オーケストレーションされた自律性である。現在のエージェントはツールを選び、定義済みの経路をたどれるが、戦略が変化しても整合性を確実に維持することはできない。この制約が残るなかで、連携は引き継ぎを増やす。

組織はオーケストレーションのグラフ全体で、アイデンティティと権限を維持しなければならない。2つ目のセッションが、1つ目より大きなアクセス権を黙って継承してはならない。Slackで開始されたワークフローは、開始したユーザー、ソース、ポリシーのコンテキストを維持しなければならない。タイマーが作業を開始する場合も、自動化を作成した管理者は管理の連鎖の一部であり続ける。

無人作業は監査の問題になる

エージェント提供者には、承認の摩擦を取り除く直接的な経済的インセンティブがある。回避可能な中断はすべて、それをなくすために売られている製品に人間の待ち時間を戻してしまう。

エンタープライズの買い手は分類器の検知率を読める。しかし、より難しい運用上の問いにも答えなければならない。誰のアイデンティティが行動したのか。どのツールが権限を与えたのか。どの認証情報が境界を越えたのか。どの下流の状態が変わったのか。どの管理者がワークフローを停止し、アクセスを取り消せるのか。

提供者には、実行後にそれらの問いへ答えるログと管理策、実行前にアクションを制限する管理策、長時間稼働するワークフローがアクティブな間に権限を引き揚げる管理策が必要である。リスクの高いプロンプトをブロックすればインシデントは減るかもしれない。アイデンティティ、委任、取り消しを維持すれば、顧客は無人作業を統治できる。

89%から14%への差が、Anthropicが監督を各権限プロンプトから外せる理由を説明する。この移行により、スコープを限定したアイデンティティ、範囲を限定した認証情報、隔離された実行、監査可能なログ、実行中の取り消しの重要性は増す。権限ボックスが消えるわけではない。システムがそれを吸収する。