Modo automático do Claude Code vira padrão: cinco ajustes de permissão a fazer antes da mudança

A Anthropic está prestes a mudar como milhões de desenvolvedores respondem a avisos de permissão — e a maioria nem vai perceber. A partir deste mês, novas sessões do Claude Code para usuários Pro, Max e Team serão iniciadas no modo automático por padrão. Cada chamada de ferramenta passará por um classificador de risco antes de ser executada — e se sua allow-list se parece com a maioria, esse classificador está prestes a se tornar o verdadeiro guardião da sua máquina.

Os números por trás da mudança são contundentes. Os usuários aprovam 97% dos avisos de permissão e rejeitam apenas 3%, e quanto mais tempo a sessão roda, mais reflexivo se torna o clique. No teste controlado da Anthropic com 1.053 testadores pagos, revisores humanos detectaram apenas 13,6% dos comandos perigosos. O modo automático detectou 89%.

O que é o modo automático — e o que ele não é

Primeiro, o limite: o modo automático não é bypassPermissions. Toda chamada de ferramenta ainda passa por um classificador de risco antes da execução. As categorias de negação rígida — exfiltração de dados é o exemplo clássico — nunca são aprovadas automaticamente em nenhuma circunstância; o classificador vai bloqueá-las, e você precisa sair conscientemente do modo automático para executá-las.

O rollout tem duas vertentes. Se você nunca definiu um modo de permissão padrão, as novas sessões começarão no modo automático e informarão isso. Se você configurou um padrão diferente, receberá um aviso único perguntando como proceder.

O classificador adiciona uma pequena sobrecarga de tokens a cada chamada. A Anthropic absorve esse custo; ele não aparece na sua fatura.

Cinco coisas a corrigir antes que o padrão chegue

1. Memorize a rota de fuga

Na CLI, Shift+Tab alterna entre os modos de permissão; o app desktop expõe o mesmo recurso como um menu suspenso de modos. Quando o modo automático parecer agressivo demais — ou insuficientemente agressivo — essa é sua saída imediata. Memória muscular aqui importa mais do que telas de configuração.

2. Administradores de equipe: fixe ou desative

Administradores de workspaces de equipe podem definir um padrão para toda a organização nas configurações gerenciadas, ou desativar o modo automático por completo:

// managed settings (admin)
{
  "defaultMode": "acceptEdits",   // fixa o padrão da organização
  "disableAutoMode": true         // ou desliga o recurso completamente
}

Se sua organização tem requisitos de conformidade sobre execução de código, decida isso deliberadamente antes que as sessões dos seus desenvolvedores decidam por você.

3. Audite suas allow-rules do Bash — a maioria é ampla demais

A própria telemetria da Anthropic mostra por que essa mudança é arriscada justamente para quem acredita já ter configurado tudo com segurança. Em junho de 2026, 49,5% dos usuários ativos da CLI têm allow-rules do Bash escritas à mão. Cinco por cento dessas regras permitem comandos shell arbitrários sem restrição, e 43% usam padrões no nível de interpretador, como Bash(python:) ou Bash(node:) — o que na prática equivale quase a permitir tudo, já que um interpretador pode fazer qualquer coisa que o shell faz. Essa fatia cresce cinco pontos percentuais a cada cinco semanas.

A correção é restringir os padrões antes que o novo padrão entre em vigor. Contrainha por escopo de interpretador e por caminho:

// settings.json — regras mais estreitas
{
  "permissions": {
    "allow": [
      "Bash(python:*)",        // limita o interpretador, não um Bash() sem restrições
      "Read(~/project/**)",    // leitura com escopo de caminho
      "Edit(~/project/**)"
    ]
  }
}

4. Estenda a lista de negação rígida

A exfiltração de dados é negada por padrão de fábrica: o classificador nunca a aprovará, e a execução exige sair do modo automático. Essa lista é extensível. Diretórios sensíveis, one-liners destrutivos, tudo o que sua organização trata como nunca-executar — coloque na always-deny explicitamente em vez de confiar que o classificador vai inferir sua tolerância a risco. Uma regra de negação explícita custa uma linha hoje e evita um relatório de incidente depois.

5. Conheça as novas verificações de segurança que vêm junto

• Verificação de visibilidade do repositório. Antes de git push ou de abrir um PR, o Claude Code agora confirma se o repositório de destino é público, privado ou confiável.
• Pré-leitura do git status. Antes de comandos que podem descartar trabalho não commitado — git reset --hard é o clássico — o status atual é lido primeiro.
• Sondagem de injeção. Quando o Claude busca páginas web, arquivos ou saídas de ferramentas, sondagens no lado da API verificam tentativas de injeção e sinalizam antes que o conteúdo entre no contexto.

O que isso muda para equipes e usuários de nuvem

O modo automático reduz o risco; não o elimina. A própria orientação da Anthropic é que mudanças de alto risco em infraestrutura de produção ainda merecem revisão humana do que o Claude pretende executar. A taxa de detecção de 89% é excelente frente aos 13,6%, mas os 11% restantes são exatamente a cauda em que seu julgamento vale mais do que o de um classificador.

Os canais de plataformas de nuvem são os próximos na fila. O modo automático é atualmente opt-in para implantações do Claude Code na AWS, Google Cloud e Azure, e a Anthropic deu a esses canais um mês antes que o mesmo padrão entre em vigor. Equipes que implantam via parceiros de nuvem devem tratar essa janela como seu período de preparação.

A lição mais profunda nos dados do rollout é sobre todos nós: os testadores aprovaram 97% dos avisos enquanto bloqueavam apenas 13,6% dos comandos perigosos. Fadiga de alerta não é uma hipótese; é algo medido. Um classificador com julgamento pior do que o de um engenheiro cuidadoso ainda supera um descuidado — e sob volume de avisos, a maioria de nós é descuidada.

Conclusão

Configurações padrão são estratégia de produto. Ao mover o modo automático de opt-in para padrão, a Anthropic aposta que o aviso médio de permissão nunca foi um verdadeiro ponto de decisão — apenas atrito — e que a classificação automatizada de risco é um uso melhor da atenção de todos. As evidências estão do lado deles. Seu próximo passo é administrativo, não filosófico: restrinja a allow-list, estenda a deny-list e aprenda a rota de fuga antes que a primeira sessão abra sem perguntar.

Anúncio oficial: Auto mode is now the default in Claude Code