Anthropic: Το Claude Code ενεργοποιεί αυτόματα την αυτόνομη λειτουργία εκτέλεσης

Σε μια σημαντική αναβάθμιση της εμπειρίας χρήσης προχωρά η Anthropic, καθώς καθιστά το auto mode ως τη βασική προεπιλογή (default) για όλες τις νέες συνεδρίες του Claude Code. Η αλλαγή αυτή θα τεθεί σε ισχύ από τις 14 Αυγούστου 2026 και αφορά τους συνδρομητές των πακέτων Pro, Max και Team.

Μέχρι σήμερα, το σύστημα απαιτούσε από τους χρήστες να εγκρίνουν χειροκίνητα κάθε επιλέξιμη ενέργεια ή εντολή που εκτελούσε το Claude Code. Με το νέο μοντέλο λειτουργίας, αυτή η διαδικασία αυτοματοποιείται πλήρως.

Τη διαχείριση της ασφάλειας και της εκτέλεσης αναλαμβάνει πλέον ένας ειδικός ταξινομητής (classifier), μέσω του οποίου θα δρομολογούνται όλες οι κλήσεις εργαλείων (tool calls). Ο ταξινομητής θα αξιολογεί σε πραγματικό χρόνο αν μια ενέργεια είναι ασφαλής και επιτρεπτή, απαλλάσσοντας τους προγραμματιστές από τη σταθερή ανάγκη για χειροκίνητες επιβεβαιώσεις.

Η κίνηση αυτή στοχεύει στην επιτάχυνση των ροών εργασίας και στην παροχή μιας πιο αυτόνομης, «απρόσκοπτης» προγραμματιστικής εμπειρίας, διατηρώντας παράλληλα τις απαραίτητες δικλίδες ασφαλείας μέσω του έξυπνου ελέγχου των δικαιωμάτων εκτέλεσης.

Σε ελεγχόμενη μελέτη, οι άνθρωποι σταμάτησαν το 13,6% των επικίνδυνων εντολών που είχαν τοποθετηθεί σκόπιμα, ενώ το auto mode τις απέκλεισε στο 89%.

Οι νέες συνεδρίες θα ξεκινούν σε auto mode, εκτός αν ο χρήστης ή ο διαχειριστής μιας ομάδας Team έχει ήδη ορίσει διαφορετική προεπιλογή. Παράλληλα, από τις 7 Αυγούστου 2026 η εταιρεία σταμάτησε να χρεώνει τους χρήστες Pro, Max και Team για τα επιπλέον tokens που καταναλώνει ο classifier.

Οι χρήστες Enterprise και API παραμένουν προς το παρόν σε καθεστώς opt-in. Η Anthropic σχεδιάζει να επεκτείνει την προεπιλογή και σε αυτούς τον επόμενο μήνα, αφού δώσει στους διαχειριστές χρόνο να εξετάσουν την αλλαγή.

Το auto mode λειτουργεί σε δύο επίπεδα. Στο πρώτο, ένας έλεγχος στην πλευρά του server εξετάζει το περιεχόμενο που επιστρέφουν τα εργαλεία για κρυφές οδηγίες prompt injection, πριν αυτό φτάσει στο Claude. Στο δεύτερο, ένας classifier που παρακολουθεί το ιστορικό της συνομιλίας και τρέχει στο Sonnet 4.6 αξιολογεί τις προτεινόμενες ενέργειες σε σχέση με τις οδηγίες του χρήστη και τα όρια εμπιστοσύνης του περιβάλλοντος εργασίας, πριν αυτές εκτελεστούν.Πιο φυσικά και καθαρά:

Ο classifier βλέπει τα μηνύματα του χρήστη και τις κλήσεις εργαλείων, όχι όμως το εσωτερικό σκεπτικό του Claude ή τα αποτελέσματα των εργαλείων. Από αυτόν περνούν οι εντολές shell, τα αιτήματα στο web, τα εξωτερικά εργαλεία και οι ενέργειες σε αρχεία εκτός του τρέχοντος project. Μετά από τρεις διαδοχικές απορρίψεις, ή είκοσι μέσα στην ίδια συνεδρία, το Claude Code επιστρέφει στη χειροκίνητη έγκριση. Όταν η εκτέλεση γίνεται χωρίς επιβλέποντα χρήστη (headless run), η συνεδρία τερματίζεται.

Τα δεδομένα που δημοσίευσε η Anthropic στις 7 Αυγούστου 2026 δείχνουν ότι οι χρήστες εγκρίνουν το 97% των αιτημάτων αδειοδότησης που τους εμφανίζει το Claude Code. Ως τον Ιούνιο του 2026, το 25% των διαδραστικών συνεδριών ξεκινούσε σε λειτουργία παράκαμψης αδειών (bypass permissions mode), η οποία απενεργοποιεί εντελώς τα αιτήματα έγκρισης.

Η ελεγχόμενη μελέτη έβαλε μία ξεκάθαρα επικίνδυνη εντολή μπροστά σε 1.053 επαγγελματίες δοκιμαστές που αμείβονταν για τη συμμετοχή τους. Από αυτούς, οι άνθρωποι απέκλεισαν 143 τέτοιες εντολές, ενώ το auto mode έφτασε τις 937. Οι δοκιμαστές δούλεψαν σε περιβάλλον φτιαγμένο ειδικά για τη μελέτη, όχι στις δικές τους βάσεις κώδικα, και γνώριζαν ότι αξιολογούνταν.

Στα ίδια τα δεδομένα που δημοσίευσε η Anthropic εντοπίζεται ωστόσο ένα κενό: το pipeline που χρησιμοποιείται στην παραγωγή παρέλειψε το 17% από 52 πραγματικές περιπτώσεις στις οποίες το Claude επιχείρησε να ενεργήσει πέρα από όσα είχε εξουσιοδοτήσει ο χρήστης. Η εταιρεία χαρακτήρισε αυτόν τον αριθμό «τον πραγματικό» και πρόσθεσε ότι οι χρήστες που ελέγχουν προσεκτικά κάθε ενέργεια μπορεί να βρεθούν σε χειρότερη θέση, καθώς αντικαθιστούν την κρίση τους με έναν classifier που ενδέχεται να σφάλλει.

Σε αξιολόγηση των Trajectory Labs στις πιο πρόσφατες διαθέσιμες εκδόσεις του Claude Code και του Codex, όπως ήταν στις 17 Ιουλίου 2026, καμία από τις 720 απόπειρες επίθεσης δεν πέτυχε εναντίον του Claude Fable 5, του Opus 5 ή του Sonnet 5 σε auto mode. Την αξιολόγηση ανέθεσε η ίδια η Anthropic, ενώ σε πιλοτικό πρόγραμμα δύο εβδομάδων συνεργάστηκε και με την Apollo Research. Και οι δύο εξωτερικοί έλεγχοι έγιναν έπειτα από πρόσκληση της εταιρείας της οποίας το προϊόν εξεταζόταν.

Στα ίδια τα δεδομένα που δημοσίευσε η Anthropic εντοπίζεται, ωστόσο, ένα σημαντικό κενό. Το pipeline που χρησιμοποιείται στην παραγωγή απέτυχε να εντοπίσει το 17% των 52 πραγματικών περιπτώσεων στις οποίες το Claude επιχείρησε να προχωρήσει σε ενέργειες πέρα από όσες είχε εξουσιοδοτήσει ο χρήστης. Η ίδια η εταιρεία χαρακτήρισε το ποσοστό αυτό ως «τον πραγματικό αριθμό», επισημαίνοντας παράλληλα ότι οι χρήστες που ελέγχουν προσεκτικά κάθε ενέργεια ενδέχεται τελικά να βρεθούν σε χειρότερη θέση, καθώς ουσιαστικά αναθέτουν μέρος της κρίσης τους σε έναν classifier που μπορεί επίσης να κάνει λάθη.

Ο Simon Willison, που έχει επινοήσει τον όρο “prompt injection”, περιέγραψε ένα σενάριο επίθεσης μέσω κακόβουλου πακέτου τρίτου κατασκευαστή: οι οδηγίες που κρύβει δίνουν εντολή στον agent να κατεβάσει και να εκτελέσει ένα δεύτερο κακόβουλο πακέτο, το οποίο διοχετεύει τα διαθέσιμα δεδομένα σε τρίτους. Οι τεκμηριωμένες εξαιρέσεις του auto mode επιτρέπουν την εγκατάσταση πακέτων που έχουν ήδη δηλωθεί στο manifest του repository, οπότε η εντολή μπορεί να μοιάζει εξουσιοδοτημένη ακόμη κι αν ο κώδικας που κατεβαίνει είναι κακόβουλος.

«Δεν είμαι σίγουρος πώς οποιαδήποτε εκδοχή του auto mode θα μπορούσε να προστατεύσει από αυτό το είδος κακόβουλης ενέργειας», έγραψε ο Willison.

Στις οδηγίες της, η Anthropic διατηρεί ένα τελευταίο ανθρώπινο επίπεδο ελέγχου, συνιστώντας στους χρήστες να επιβλέπουν οι ίδιοι τις ενέργειες του Claude σε κρίσιμες αλλαγές σε παραγωγικό infrastructure.