Claude Codeの許可を押す人の86%は危険操作を見逃した

1053人の実験で判明　危険操作を止めたのはAI89%で人間は14%だった

テスターが危険なコマンドを止められたのは1053件中143件で13.6%でした。AIの自動判定は1053件中937件の89%をブロックしています。

Anthropicは調査会社を通じて1053人の有償テスターを集め、盲検法で対照実験を行いました。テスターは専用環境で実際にコーディングをしながら確認画面への反応を測られています。セッションの途中で確認画面の1つが危険なコマンドに差し替えられますが、承認しても実際に実行されることはない仕組みです。

直接比較すると人間が承認した800件を自動モードが止めています。逆に自動モードが通して人間が止めたのは6件だけでした。

50回確認すると検知率は5%まで落ちる　ボタンの形骸化が数字で出た

Claude Codeでは確認画面の97%が承認されています。大半は安全な定型コマンドですが、この承認率の高さは中身を見ずに押す利用者が多いことの証拠です。

Claudeが計画を提示して承認を求める場面では却下率が39%に達する一方、個別の権限確認になると却下率は3%まで落ちます。作業の判断は慎重でも操作の1つ1つは素通りさせている格好です。

人間の検知率はセッションが長くなるほど下がりました。序盤は約17%でしたが50回以上の確認を経ると約5%まで落ちています。自動モードのブロック率は一定のままでした。

Anthropicが2026年5〜6月に再評価した本番データでも傾向は同じです。深刻な被害を含むセッションは手動承認が6.3%に対して自動モードは2.4%でした。

「python:*」のような広い許可は自動モードで無効になる

「python:*」のように任意のコードを実行できる広い許可ルールは自動モードの間だけ無効になります。分類器を素通りさせないための措置です。別のモードに切り替えれば再び有効になりますが、日常的に広い許可ルールで運用してきたチームは作業の流れが変わる可能性があります。

2026年8月14日からClaude CodeのPro・Max・Teamプランでは新規セッションが自動モードで起動しています。AIの分類器がツール呼び出しの危険度を判定し、取り消しが効かない操作や破壊的な操作をブロックする仕組みです。

3回連続でブロックされるか1セッションで20回ブロックされると手動承認に切り替わります。AIの判定に納得できない場面では人間が引き継げる設計です。分類器が消費する追加トークンぶんの課金はPro・Max・Teamプランではなくなっています。

見逃し率7%は残る　ログの監視を切るのはまだ早い

自動モードの見逃し率は7%でゼロにはなっていません。AnthropicはAI安全性を評価する英国のApollo Researchと2週間のパイロットを実施してこの数字を出しています。

改善後の自動モードはそれまで見逃していた攻撃の約半分を新たに捕捉しました。一方で以前捕捉できていた攻撃の約2%を取りこぼしています。コーディングの作業履歴に合成した攻撃を差し込み、データの持ち出しを含む3種類のデータセットでテストした結果です。

この7%は分類器の穴を探すための合成攻撃での数字で、日常のトラフィックでの見逃し率ではないとAnthropicは説明しています。それでも自動モードへの切り替えでログの監視をやめてよい理由にはなりません。重大な操作のログは別に残しておく運用が現実的です。