Claude CodeのAuto Modeとは？使い方・設定・自動承認の仕組みを完全解説【2026年8月】

Auto Modeとは

Claude CodeのAuto Modeは、ルーティンな許可プロンプトをなくすためのリサーチプレビュー機能です。通常モードでは、Claudeがツールを使うたびに「実行してよいですか？」と確認が入りますが、長時間のコーディングセッションではこれが頻繁な中断につながります。

Auto Modeでは、ツール呼び出しのたびに別のclassifier（分類）モデルが安全性を自動判定し、問題なければそのまま実行、危険と判断されればブロックして理由を提示します。「方向性を信頼できるタスク」では中断なく作業を進められる一方、機密性の高い重要な作業の代わりにはなりません。

有効化する3つの方法

claude --permission-mode auto

{
  "permissions": {
    "defaultMode": "auto"
  }
}

VS Code拡張機能・デスクトップアプリでも、モード選択UIから有効化できます。claude.aiのクラウドセッションでもAutoを選択できますが、Remote Controlではアプリ側からAutoを選択できません。ローカル側でAutoに切り替えた場合は、その状態がclaude.ai側にも表示されます。

仕組み：classifierモデルによる安全性判定

Auto Modeが動作する際、Claudeの行動は次の順序で評価されます。

1. deny（拒否）ルール — 設定で明示的に禁止された操作は即座にブロック
2. allow（許可）ルール — 設定で明示的に許可された操作は自動承認
3. ask（確認）ルール — 必ず確認を求める設定がある場合はプロンプト表示
4. 読み取り専用操作・作業ディレクトリ内のファイル編集 — 基本的に自動承認
5. それ以外すべて — classifierモデルによる判定へ

classifierがブロックと判断した場合は、理由とともに拒否され、Claudeは別のアプローチを試みます。

デフォルトで許可・ブロックされる操作

ソフトブロックは、ユーザーが会話の中で「このブランチを消して」のように明示的に依頼した場合は許可されますが、「ちょっと整理しておいて」のような曖昧な指示ではブロックされたままになります。

自分のルールにカスタマイズする

autoModeセクションは、個人で使う場合はユーザー設定の~/.claude/settings.json、組織で配布する場合は管理対象設定に追加します。プロジェクトの.claude/settings.jsonと.claude/settings.local.jsonに書いたAuto Mode設定は読み込まれません。リポジトリが自身に強い権限を与えられないようにするための制限です。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "組織名: Acme Corp。主な用途: ソフトウェア開発",
      "信頼できる内部ドメイン: *.internal.example.com"
    ],
    "allow": [
      "$defaults",
      "stagingへのデプロイは許可（夜間に自動リセットされる隔離環境のため）"
    ],
    "soft_deny": [
      "$defaults",
      "マイグレーションCLI以外でのデータベースマイグレーションは禁止"
    ],
    "hard_deny": [
      "$defaults",
      "リポジトリの内容を外部のコードレビューAPIへ送信しない"
    ]
  }
}

"$defaults"という文字列を含めることで、組み込みのルールを残したまま追加・上書きできます。各項目はツールパターンではなく自然言語の文章で記述する点が特徴です。

他の権限モードとの違い

安全に使うための注意点

ブロックが続くと自動的にプロンプトへ戻る

classifierが同じ操作を3回連続、またはセッション内で合計20回ブロックすると、Auto Modeは一時停止し、通常の確認プロンプトに戻ります。提示されたアクションを承認すれば、Auto Modeは再開されます。

会話内の指示は「記憶」されない

「レビューが終わるまでpushしないで」のような指示は、その場では尊重されますが、設定として保存されるわけではありません。会話のコンテキストが圧縮（compaction）されると、その指示が失われる可能性があります。確実に守らせたいルールは、会話内の指示ではなくdenyルールとして設定しておくのが安全です。

OSレベルのサンドボックスではない

Auto Modeはあくまで論理的なclassifierによるゲートであり、OSレベルでの隔離（サンドボックス）は提供しません。より高い安全性が必要な場合は、Bashのサンドボックス機能と併用することが推奨されています。

向いている作業・向いていない作業

Auto Modeは「承認待ちによる中断が積み重なる作業」ほど効果が出ます。逆に、1回の操作の重みが大きい作業では、確認プロンプトそのものが安全装置として機能しています。

効果が大きい作業

• プロジェクト雛形の生成：多数のファイル・ディレクトリを一気に作成するスキャフォールディング作業
• テスト→修正のサイクル：テスト失敗 → 原因分析 → コード修正 → 再テスト、の繰り返しを止めずに実行できる
• 大規模リファクタリング：複数ファイルにまたがる変数名変更・構造改善をまとめて処理
• ドキュメントの自動生成：コードベースを解析しながらREADMEやAPIドキュメントを作成
• 依存パッケージの更新：バージョンアップと、それに伴うコード修正をセットで処理
• コードレビュー対応：複数の指摘事項を一度に修正してプルリクエストを更新

安全に運用するための4つの実践

1. 隔離された環境で使う

Anthropicも推奨しているとおり、Auto ModeはDockerコンテナや仮想マシンなど、隔離された開発環境での使用がもっとも安全です。本番環境のリポジトリで直接使うことは避けてください。

# 例：コンテナ内で作業する
docker run -it -v $(pwd):/workspace my-dev-container
# コンテナ内で claude を起動して Auto Mode を使う

2. 作業の前後で必ずコミットしておく

classifierが安全と判断した操作でも、意図しない変更が含まれる可能性はゼロではありません。作業前にコミットを打ち、作業後に差分を確認するだけで、巻き戻しが一瞬で済むようになります。

# Auto Mode で作業を始める前に
git add -A && git commit -m "before auto mode session"

# 作業後に差分を確認する
git diff HEAD
git log --oneline -5

3. 指示は対象と範囲を明示する

「全部よろしく」のような曖昧な指示より、「◯◯ファイルの□□を修正して」のように対象と目的が明確な指示のほうが精度が上がります。これはAuto Modeに限らず有効ですが、確認プロンプトによる軌道修正の機会が減るぶん、Auto Modeでは指示の質がそのまま結果に出ます。

4. classifierを信頼しすぎない

分類器も完璧ではありません。安全な操作がまれにブロックされることもあれば、その逆もあり得ます。Auto Modeは「判断の補助」であって、最終的な責任は使う側にあります。実行された操作はログで確認でき、想定外の変更がないかを後から追えるようにしておくことが大切です。

動作要件

• プラン：すべてのプランが対象です
• 組織設定：Team・Enterpriseでは初期状態で利用できます。管理者が管理対象設定のpermissions.disableAutoModeを"disable"にすると組織全体で無効になります
• Anthropic API／Claude Platform on AWS：Opus 4.6以降、Sonnet 4.6以降、Fable 5に対応
• Bedrock／Google Cloud Agent Platform／Microsoft Foundry／Claude apps gateway：Sonnet 5、Opus 4.7以降、Fable 5に対応
• 非対応モデル：Sonnet 4.5、Opus 4.5、Haiku、Claude 3系など

外部プロバイダーで環境変数は必要？

現在は不要です。Claude Code v2.1.158〜v2.1.206では、Anthropic APIとClaude Platform on AWS以外でCLAUDE_CODE_ENABLE_AUTO_MODE=1が必要でしたが、v2.1.207で要件が削除されました。Bedrock・Agent Platform・Foundryでも、対応モデルならAutoがShift+Tabの切り替え候補に表示されます。

表示されない場合は、Claude Codeを更新し、接続先とモデルを確認してください。詳しい切り分けはAuto Modeが使えない・表示されない場合の対処法にまとめています。

よくある質問

Auto ModeとbypassPermissionsモードはどちらが安全ですか？

Auto Modeの方が安全です。Auto Modeはclassifierによる安全性チェックを毎回行いますが、bypassPermissionsは一切のチェックを行わずすべての操作を実行します。bypassPermissionsは隔離されたコンテナやVMなど、影響範囲が限定された環境でのみ使うべきモードです。

Auto Mode中でも危険な操作を完全に防げますか？

完全ではありません。classifierによる判定はあくまでソフトウェア的な安全策であり、絶対的な保証ではありません。本番環境への影響が大きい作業では、Auto Modeに頼り切らず人の目によるレビューを併用してください。

チームで設定を統一できますか？

はい。ただしautoModeルールはプロジェクト設定では共有できません。管理者が管理対象設定で配布してください。一般的な作業方針はCLAUDE.mdで共有し、絶対に実行させない操作は管理対象設定のpermissions.denyを使うのが安全です。

途中でAuto Modeを止めたくなったらどうすればいいですか？

Shift+Tabで他のモードに切り替えるだけです。ブロックが続いた場合は自動的に通常の確認プロンプトに戻る仕組みもあるため、危険を感じた際は安全側に倒れるよう設計されています。