2026년 8월 14일부터 Claude Code의 Pro, Max, Team 플랜에서 Claude Code auto mode가 새 세션의 기본 권한 모드로 전환된다. 단순한 편의성 업그레이드가 아니다. “매번 묻는 것이 정말 더 안전한가”라는 질문에 대한 실험적 답변이다. 핵심은 사람의 판단 피로를 분류기가 대신하면서 위험한 명령을 더 일관되게 차단할 수 있다는 데 있다.
사람은 피로해지지만, 분류기는 일정하다
Claude Code 사용자는 권한 확인 프롬프트의 97%를 승인한다1. 숫자만 보면 순응적으로 보이지만, 유료 테스터 1,053명을 대상으로 한 통제 실험에서 실제 모습은 달랐다. 세션 중간에 위험한 명령으로 바꿔친 프롬프트를 사람이 걸러낸 비율은 13.6%에 불과했다. 반면 Claude Code auto mode의 분류기는 같은 명령의 89%를 차단했다1.
세션 길이가 길어질수록 격차는 더 벌어진다. 사람은 초반에 위험 명령의 약 17%를 차단했지만, 50회 이상의 프롬프트 이후에는 그 비율이 약 5%로 떨어졌다. 자동 모드의 차단율은 세션 길이와 무관하게 일정하게 유지됐다1. 사용자 행동 데이터도 같은 방향을 가리킨다. CLI 사용자의 49.5%가 Bash 허용 규칙을 만들었고, 62%는 bypassPermissions를 사용하거나 Bash에서 “다시 묻지 않음”을 클릭한 적이 있다1. 이미 많은 사용자가 승인 프롬프트를 우회하고 있었다.
분류기가 하는 일, 하지 않는 일
Claude Code auto mode의 분류기는 매 도구 호출을 검사해 되돌릴 수 없거나 파괴적이거나 환경 밖을 겨냥한 동작을 차단한다1. 차단되면 Claude가 더 안전한 방법을 스스로 찾거나 사용자에게 직접 승인을 요청한다. 연속 3회 차단 또는 세션 누적 20회 차단 시에는 수동 승인 모드로 전환된다.
여기서 오해하기 쉬운 지점이 있다. 분류기는 샌드박스가 아니다. 샌드박스는 OS 수준에서 Bash와 하위 프로세스를 격리하지만, Read/Edit/Write 작업은 여전히 권한 시스템을 통과하며 실제 데스크톱의 computer use는 동일한 OS 격리 계층에 자동으로 포함되지 않는다2. 분류기는 의미 기반 판단을 수행할 뿐, 실행 환경 자체를 격리하지는 않는다. 따라서 광범위한 Bash 허용 규칙(예: python:*처럼 임의 코드 실행을 허용하는 규칙)은 분류기를 완전히 우회할 수 있기 때문에 자동 모드에서는 적용되지 않는다1.
또 한 가지 주목할 점은 비용이다. Anthropic은 분류기가 도구 호출당 소량의 추가 토큰을 사용하지만, Pro, Max, Team 플랜 사용자에게는 더 이상 이 오버헤드 비용을 청구하지 않는다1. 사용성과 경제성 모두에서 수동 승인의 대안으로 자리 잡겠다는 의도다.
언제 믿고, 언제 경계를 더 둘 것인가
Trajectory Labs가 2026년 7월 17일자 Claude Code 및 Codex 최신 공개 버전을 대상으로 실시한 테스트에서, Claude Fable 5, Opus 5, Sonnet 5의 자동 모드는 720회의 간접 프롬프트 인젝션 공격 시도 중 단 한 건도 성공을 허용하지 않았다1. Apollo Research의 대적 레드팀 테스트에서도 분류기 강화 후 공격 누락률이 12%에서 7%로 감소했다1. 유의미한 개선이지만 7%는 여전히 0이 아니며, 이 공격들은 정상적인 Claude 행동보다 의도적으로 더 악의적이게 설계되었으므로 실제 트래픽 누락률로 해석해서는 안 된다1.
Claude Code auto mode를 기본값으로 두는 것은 합리적인 결정이다. 고빈도, 가역적, 저위험 작업의 승인 부담을 덜어준다. 그러나 프로덕션 배포나 데이터베이스 마이그레이션처럼 한 번의 실수가 돌이킬 수 없는 결과를 낳는 작업에서는 분류기 한 겹만 믿어서는 안 된다. managed permissions.deny를 사용해 특정 도구 패턴을 분류기 이전에 확실히 차단하고, 프로덕션 자격 증명은 샌드박스 밖에 두는 식으로 하드 엣지를 함께 설계해야 한다. autoMode.hard_deny는 분류기가 해석하는 자연어 정책일 뿐임을 기억하라2. 자동화할 부분과 사람이 직접 통제할 부분을 구분하는 것이 Claude Code auto mode를 제대로 쓰는 방법이다.
1Auto mode is now the default in Claude Code for Pro, Max, and Team plans
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.