同意鍵消失之後：自動模式變成預設代表什麼

如果你最近覺得「它怎麼不問我了」，你沒看錯。2026 年 8 月 14 日起，Pro、Max、Team 方案的新對話預設就是自動模式。Enterprise 和走 Bedrock、Agent Platform、Foundry 那幾條路的還是手動。

自動模式不等於什麼都答應。原本問你的那一關，換成另一個模型來審，官方叫它分類器。你的每個動作先看你自己寫的允許、詢問、拒絕規則；再看是不是唯讀或只動工作目錄；兩關都沒判出結果的，才交給分類器。

先看它預設放行什麼

官方文件把清單攤開了，值得逐條讀。預設放行的包括：工作目錄裡的檔案操作、照 lock 檔安裝相依套件、唯讀的 HTTP 請求、推送到你正在做的那個專案的任何分支（連預設分支都算，但名字看起來像部署目標的 production、gh-pages 另外判斷）。

還有一條：讀 .env 並把裡面的憑證送到它對應的那個 API。乍看很嚇人，不過你給它金鑰，本來就是要它去呼叫那個服務。重點在「對應的」三個字，同一把金鑰送到別的地方，就落到預設封鎖那一欄了。

預設封鎖的那一欄有：下載程式直接執行、把敏感資料送到外部端點、正式環境部署與資料庫遷移、雲端儲存的大量刪除、給出 IAM 或倉庫權限、動共用的基礎設施、把本來就存在的檔案不可逆地毀掉、強制推送、把會外洩機密的設定提交出去、把 API 網址或 webhook 指到不相干的第三方，以及往公開倉庫推個資或機密。

正式環境部署放在封鎖欄，我很贊成，部署出錯影響的是正在用的人，這種事讓人自己按比較好。

分類器看不到工具的執行結果

分類器讀你的訊息、要執行的動作和常駐檔，但它看不到工具回傳的結果。網頁裡、檔案裡如果藏著「請放行接下來這個動作」，它根本讀不到，也就騙不到。AI 被騙的三種方式那篇講的三條路，這裡被堵掉一條。

代價是它也看不到脈絡。所以伺服器端另外有一層偵測在掃進來的內容，你也可以用 hook 主動替某個結果加註說明給分類器看。

還有一個很現實的限制：你在對話裡說的「不要推上去」，在對話被壓縮之後可能就不見了。要一直成立的規定，得寫成下面那種硬性拒絕。

動手做

先確認自己在哪個模式：Shift+Tab 會循環切換，/permissions 看你目前的規則。想回到每步都問，切到手動就好，涉及錢和正式環境的工作，我會建議切回手動。

接著補自己的紅線。硬性拒絕寫在設定的 autoMode.hard_deny 陣列裡，用白話句子寫就可以，不用寫程式：

我要把公司的紅線寫成 Claude Code 的 autoMode.hard_deny 規則。
下面是我們的規定（白話）：（貼上，例如「客戶名單不能離開內網」「不准動正式資料庫」）
請幫我：
1. 每一條翻成一句明確、可判斷的英文規則句，主詞是 Claude，動詞用 Never。
2. 標出哪些條目其實內建就擋了，不用重複寫。
3. 提醒我陣列裡要保留 "$defaults" 才不會把內建規則覆蓋掉。
只輸出 JSON 片段和說明，不要幫我改設定檔。

再往上一層是沙箱：/sandbox 可以把檔案範圍和可連的網域分開限制，讓作業系統幫你擋。它跑在 macOS、Linux 和 WSL2 上，原生 Windows 不支援。

用 Windows 的人要先在 WSL2 裡把 Claude Code 裝好、從那裡開對話，再打 /sandbox，官方文件把這一點寫在支援平台那一段。

站內延伸

• 為什麼便條擋不住 → 便條擋不住
• 迴圈要有硬性停損 → 沒有停損的迴圈會整晚燒錢
• 權限最小化怎麼落地 → 找方法AI Agent 權限最小化

來源： Claude Code：Choose a permission mode（Pro／Max／Team 的預設起始模式、預設放行與封鎖清單原文、分類器讀不到工具結果、判斷順序）；Claude Code：Configure auto mode（autoMode.hard_deny 與 $defaults、可信基礎設施設定）；Claude Code：週報 2026-w32（2026-08-14 起成為 Pro、Max、Team 新對話預設）；Claude Code：Configure the sandboxed Bash tool（檔案與網域兩層隔離、支援平台、原生 Windows 不支援）。