Anthropic opísal auto mode v Claude Code: delegované povoľovanie akcií pre agenta

Čo Anthropic zmenil

Anthropic vo svojom technickom článku z 25. marca 2026 predstavil auto mode pre Claude Code ako stred medzi ručným schvaľovaním akcií a úplným vypnutím povolení cez --dangerously-skip-permissions. Podľa firmy má režim znížiť „approval fatigue“, keďže používatelia vraj schvaľujú 93 % permission promptov, no zároveň nemá ponechať agenta bez zábran. 1

Dôležité je, že nejde o nezávisle overený benchmark bezpečnosti, ale o opis architektúry a interných meraní priamo od výrobcu. Napriek tomu je podklad prakticky užitočný pre tímy, ktoré navrhujú guardrails pre agentov a povoľovanie nástrojov. 1

Ako mechanizmus funguje

Anthropic opisuje dve vrstvy obrany. Na vstupe je server-side prompt-injection probe, ktorá prezerá výstupy nástrojov ešte predtým, než sa dostanú do kontextu agenta. Keď obsah vyzerá ako pokus presmerovať správanie modelu, sonda pridá varovanie, aby agent považoval takýto obsah za podozrivý a držal sa pôvodnej požiadavky používateľa. 1

Na výstupe stojí transcript classifier bežiaci na Sonnet 4.6. Ten hodnotí akcie pred vykonaním a má nahrádzať ľudského schvaľovateľa. Klasifikácia je dvojstupňová: najprv rýchly filter s odpoveďou áno/nie, ktorý je nastavený opatrne smerom k blokovaniu, a až pri podozrivých prípadoch sa spúšťa druhý krok s chain-of-thought uvažovaním. Výrobca tvrdí, že takto šetrí latenciu a náklady, pretože väčšina akcií druhý stupeň vôbec nepotrebuje. 1

Zaujímavé je aj to, čo klasifikátor nevidí. Anthropic z neho zámerne odstraňuje vlastné správy asistenta aj výstupy nástrojov; zostávajú len používateľské správy a samotné tool cally. Cieľom je, aby agent klasifikátor „neukecal“ vlastným vysvetlením a aby sa znížil priestor pre prompt injection cez tool output. 1

Praktický význam pre návrh agentov

Auto mode podľa článku pracuje s tromi úrovňami povolení. Bez klasifikátora prejdú bezpečné nástroje na allowliste a tiež zápisy či úpravy súborov v rámci projektu; naopak shell príkazy, web fetch, externé integrácie, operácie mimo projektového adresára a subagenti idú do klasifikátora. Pri vstupe do auto mode sa navyše zahadzujú široké always-allow pravidlá, ktoré by inak povoľovali arbitrárne spustenie kódu, napríklad blanket shell access alebo wildcard pravidlá pre interpretre. 1

Pre vývojárov agentických systémov je to použiteľný návrhový vzor: bezpečné operácie sa snaží vybaviť lacno, rizikové akcie posiela do samostatnej politiky a prompt injection nerieši jednou kontrolou, ale kombináciou vstupnej a výstupnej vrstvy. 1

Čo hovoria čísla a kde sú hranice

Anthropic zverejnil interné výsledky na troch datasetoch: 10 000 reálnych interných tool callov, 52 reálnych „overeager“ akcií a 1 000 syntetických úloh zameraných na exfiltráciu dát. Pri nasadenom dvojstupňovom pipeline firma uvádza false positive rate 0,4 % na reálnej prevádzke, false-negative rate 17 % na sade reálnych nebezpečných akcií a 5,7 % false-negative rate na syntetickej exfiltrácii. 1

Najdôležitejšia časť článku je možno tá najtriezvejšia: Anthropic výslovne píše, že 17 % false-negative rate je „honest number“ a že auto mode nie je náhradou za starostlivé ľudské schvaľovanie pri high-stakes infraštruktúre. Firma ho rámcuje skôr ako bezpečnejšiu alternatívu k režimu bez povolení než ako plnohodnotnú náhradu manuálnej kontroly. To je pre čitateľa prakticky podstatnejšie než samotný marketing okolo autonómie. 1