Claude Code activa el modo automático el 14 de agosto: qué hay en su libro de reglas

Anthropic ha anunciado que, a partir del 14 de agosto, Claude Code comenzará en modo automático para nuevas sesiones en los planes Pro, Max y Team. En este modo, en lugar de un diálogo solicitando permiso, un clasificador independiente evalúa cada llamada a una herramienta. Los usuarios que ya hayan establecido un modo por defecto pueden recibir una pregunta puntual para cambiarlo, pero los valores por defecto establecidos por los administradores no se modifican. Los usuarios de Enterprise, API, Bedrock, Vertex y Foundry siguen con la opción de activación voluntaria durante aproximadamente otro mes. Las reglas del clasificador se almacenan localmente; en la compilación 2.1.226, el comando `claude auto-mode defaults` las imprime. Las reglas incluyen 17 de permitir, 65 de denegación suave, 1 de denegación estricta y 20 entradas de entorno, sumando 60.149 caracteres de prosa en inglés. La única regla de denegación estricta trata sobre la exfiltración de datos, y es también la más larga, con 5.278 caracteres, explicando que se debe considerar al destinatario final y que el base64 no cambia la naturaleza de la transferencia. En una máquina limpia, solo un tercio del perfil de entorno está completo: trece campos están configurados como None (sin configurar), por lo que el único objeto de confianza por defecto es el repositorio donde se inició la sesión y su remoto. Se recomienda a los usuarios completar estos campos antes del 14 de agosto: dónde está la producción, qué dominios y buckets son internos, y cómo se gestionan los secretos. El diálogo de permiso no se elimina; el clasificador bloquea lo que considera irreversible, destructivo o dirigido hacia afuera. Después de tres bloqueos consecutivos o veinte en una sesión, el modo automático se pausa y Claude Code vuelve a preguntar; aprobar una solicitud reanuda el modo automático. Los umbrales no son configurables. El modo automático también desactiva reglas de permiso amplias como python:*, que permitirían a los comandos evitar el clasificador; las reglas específicas como Bash(git *) funcionan como antes, y permissions.deny se verifica primero y es independiente del modelo.