Desde 14 de agosto de 2026, todo novo projeto aberto no Claude Code — a ferramenta de programação com IA da Anthropic — nos planos Pro, Max e Team passou a rodar, por padrão, em um regime chamado “auto mode”. Na prática, isso significa que o agente de IA que edita arquivos, executa comandos no terminal e faz alterações no código do usuário deixou de pedir aprovação humana a cada passo. Em vez disso, uma segunda camada de inteligência artificial passou a examinar cada ação proposta pelo agente principal, decidindo em frações de segundo se ela deve prosseguir, ser bloqueada ou escalada para revisão de uma pessoa.
A mudança foi anunciada pela Anthropic em 7 de agosto de 2026, no post oficial “Auto mode is now the default in Claude Code for Pro, Max, and Team plans”, publicado no blog da empresa, e repercutida por veículos como TechCrunch, InfoWorld e Help Net Security nos dias seguintes. Ela é significativa não porque cria uma nova ferramenta, mas porque inverte o padrão de segurança de um dos agentes de codificação autônoma mais usados do mundo: em vez de o humano ser a barreira padrão contra erros e ações destrutivas, essa barreira passou a ser outro modelo de IA.
O problema que motivou a mudança: revisão humana que não revisa
Ferramentas como o Claude Code pertencem a uma categoria conhecida como “agentic coding” — agentes de IA que não apenas sugerem trechos de código, mas executam ações reais: apagam arquivos, instalam pacotes, alteram configurações, fazem commits e disparam comandos no terminal do usuário. Desde que esse tipo de ferramenta se popularizou, o modelo de segurança padrão era simples: antes de qualquer ação potencialmente arriscada, o agente parava e pedia permissão explícita ao usuário.
O problema, segundo a própria Anthropic, é que essa barreira humana provou ser mais frágil do que parecia. Em dados internos citados no anúncio, a empresa afirma que os usuários do Claude Code aprovavam cerca de 97% de todos os prompts de permissão que recebiam — um índice de rejeição de apenas 3%. Levantamentos da empresa também mostraram que, até junho de 2026, cerca de 49,5% dos usuários ativos da interface de linha de comando já haviam criado regras de “allow” automático para comandos Bash, e 62% haviam usado recursos como “bypassPermissions” ou “não perguntar novamente” para evitar as interrupções repetidas. Ou seja: na prática, boa parte da base de usuários já vinha desligando manualmente a camada de aprovação humana por cansaço — o efeito clássico de “fadiga de alerta”, em que avisos repetidos e de baixo risco aparente levam à aprovação automática, sem análise real, até mesmo quando um comando é de fato perigoso.
Para testar até que ponto essa fadiga comprometia a segurança, a Anthropic conduziu um experimento controlado com 1.053 usuários pagos, expondo-os a comandos deliberadamente arriscados disfarçados de tarefas rotineiras. O resultado: a revisão humana barrou apenas 13,6% das ações prejudiciais. O classificador automático da empresa, rodando as mesmas situações, bloqueou 89% delas.
Como funciona a camada de revisão automatizada
O mecanismo técnico por trás do auto mode foi descrito em detalhe em um post de engenharia da Anthropic publicado em 25 de março de 2026 (“How we built Claude Code auto mode: a safer way to skip permissions”), que serviu de base técnica para o recurso opcional testado ao longo do primeiro semestre antes de se tornar padrão em agosto. A arquitetura tem duas camadas de defesa:
Uma primeira camada, na entrada, funciona como uma sonda de detecção de injeção de prompt: ela varre o conteúdo que retorna de ferramentas externas (páginas web, saídas de comandos, arquivos lidos) em busca de instruções maliciosas escondidas ali, uma técnica de ataque conhecida como “prompt injection”, em que um invasor esconde comandos dentro de um conteúdo aparentemente inofensivo para tentar manipular o agente.
A segunda camada, que dá nome ao sistema, é um classificador de transcrição que roda sobre o modelo Sonnet 4.6 e avalia cada chamada de ferramenta antes de ela ser executada — ou seja, antes de o comando realmente rodar no ambiente do usuário. Esse classificador opera em dois estágios. O primeiro é um filtro rápido, que produz apenas uma decisão binária (sim ou não) inclinada a bloquear em caso de dúvida. Se esse primeiro filtro sinalizar risco, um segundo estágio, mais lento, aplica um raciocínio em cadeia mais elaborado para decidir se a ação deve mesmo ser barrada. Um detalhe de design relevante: o classificador é deliberadamente “cego ao raciocínio” do agente principal — ele não vê o texto explicativo que o modelo gera para justificar suas próprias ações, apenas as mensagens do usuário e as chamadas de ferramenta que serão de fato executadas. A escolha evita que um agente comprometido por injeção de prompt consiga “convencer” seu próprio revisor por meio de uma explicação bem escrita, mas enganosa.
O classificador aplica mais de vinte regras de bloqueio padrão, agrupadas em quatro categorias: ações destrutivas ou de exfiltração de dados (como um force-push que sobrescreve histórico de código, exclusões em massa de arquivos ou envio de dados para fora do ambiente); degradação da própria segurança do sistema (desabilitar registros de log, instalar mecanismos de persistência como chaves SSH novas ou tarefas agendadas); ações que cruzam limites de confiança (executar código vindo de repositórios externos não verificados, vasculhar cofres de credenciais); e tentativas de contornar processos de revisão (como enviar código diretamente para o branch principal sem passar por revisão, fazer deploy em produção ou modificar recursos compartilhados por uma equipe inteira). Entre os exemplos citados pela própria Anthropic de ações que o classificador interceptou estão uma limpeza automática de branches antigos (bloqueada por incerteza sobre reversibilidade), uma varredura sistemática por tokens de API depois de um erro de autenticação, e uma tentativa de publicar conteúdo em um Gist público do GitHub sob o pretexto de “compartilhamento”, sinalizada como risco de vazamento de dados.
Quando uma ação é bloqueada, o agente não trava a sessão: ele recebe a recusa com a justificativa e tenta encontrar um caminho alternativo, ou solicita aprovação explícita do usuário para aquele passo específico. Existe também um limite de tolerância: se o agente esbarrar em três bloqueios consecutivos, ou em vinte bloqueios ao longo de uma mesma sessão, o sistema inteiro retorna automaticamente ao modo manual, devolvendo o controle passo a passo ao usuário — em modo não interativo (“headless”), o processo é simplesmente encerrado.
Segundo dados publicados pela Anthropic sobre o desempenho desse classificador em produção, a taxa de falsos positivos do primeiro estágio, medida sobre cerca de dez mil interações reais, ficou em torno de 8,5%, caindo para cerca de 0,4% depois de passar pelo segundo estágio de raciocínio. Já a taxa de falsos negativos — casos em que uma ação de fato arriscada não foi bloqueada — chegou a 17% em uma amostra de ações reais consideradas “excessivamente cautelosas” pelos próprios revisores da empresa, um número que a Anthropic reconhece abertamente como limitação: segundo a empresa, a maior parte dessas falhas não decorre do classificador deixar de perceber o perigo em si, mas de errar se um consentimento já dado pelo usuário realmente cobria aquela ação específica.
Contra ataques de injeção de prompt propriamente ditos, a empresa contratou a Trajectory Labs para testes independentes: em 72 cenários distintos de injeção indireta, totalizando 720 tentativas de ataque, nenhuma teve sucesso contra os modelos Claude em auto mode. A Anthropic também divulgou números comparativos de configurações de outros sistemas nesses mesmos testes — nas quais uma configuração do agente Codex, da OpenAI, com um modelo GPT-5.6 em revisão automática registrou taxa de sucesso de ataque de 5,83%, e uma configuração de acesso irrestrito do mesmo sistema chegou a 19,03% — números que, é importante frisar, vêm de um teste conduzido e divulgado pela própria Anthropic, e não por um comparativo independente entre as empresas.
Uma segunda IA como camada de contenção: por que isso importa além do Claude Code
O caso do Claude Code ilustra um dilema que atravessa toda a indústria de agentes de IA em 2026: à medida que esses sistemas ganham mais autonomia — não apenas sugerindo ações, mas executando-as diretamente em ambientes reais, com acesso a arquivos, credenciais, infraestrutura de nuvem e sistemas de produção — o modelo tradicional de segurança baseado em intervenção humana constante se torna, ao mesmo tempo, mais necessário e menos eficaz. Quanto mais frequentes e triviais são os pedidos de aprovação, maior a chance de o usuário humano aprovar automaticamente por cansaço, exatamente quando um pedido malicioso ou uma instrução manipulada por injeção de prompt se disfarça entre dezenas de solicitações legítimas e repetitivas.
A resposta da Anthropic — colocar um segundo modelo de IA, mais barato e mais rápido de rodar a cada ação do que uma pessoa parando o que está fazendo para avaliar um comando de terminal, como camada de triagem entre o agente e o mundo real — não é exclusiva do Claude Code, mas o caso se tornou uma referência concreta de como essa arquitetura de “IA revisando IA” pode ser implementada em escala de produção, com métricas publicadas e testes de terceiros. A lógica é semelhante à de sistemas de moderação de conteúdo ou de detecção de fraude, que há anos usam classificadores automatizados como primeira linha de defesa antes de escalar casos ambíguos para revisão humana — só que aqui aplicada não a posts ou transações, mas a comandos que alteram código, sistemas e dados de produção.
Isso não elimina o papel humano — pelo contrário, o desenho da Anthropic mantém a revisão de pessoas como camada final, acionada quando o classificador não consegue decidir sozinho ou quando os limites de bloqueio são atingidos. Mas desloca o ponto em que essa revisão humana entra: em vez de ser solicitada a cada ação isolada, de forma indiscriminada e sujeita à fadiga, ela é reservada para os casos que a triagem automatizada não conseguiu resolver com segurança. É um reconhecimento, ainda que implícito, de que a autonomia crescente de agentes de IA em tarefas de engenharia de software só é sustentável se a supervisão também se tornar automatizada — e de que a alternativa, manter um humano aprovando cada passo, tende, na prática observada pelos próprios dados da empresa, a se degradar em aprovação automática sem escrutínio real.
O rollout iniciado em 14 de agosto de 2026 cobriu, por ora, apenas os planos Pro, Max e Team do Claude Code. Segundo a Anthropic, a extensão do mesmo modelo padrão para contas Enterprise, uso via API e outras plataformas em nuvem estava prevista para acontecer em um intervalo de aproximadamente um mês a partir do anúncio — o que, neste momento, ainda não havia sido formalmente confirmado como concluído em fontes públicas verificáveis.
Fontes
- Anthropic. “How we built Claude Code auto mode: a safer way to skip permissions.” Publicado em 25 de março de 2026. https://www.anthropic.com/engineering/claude-code-auto-mode
- Claude (Anthropic). “Auto mode is now the default in Claude Code for Pro, Max, and Team plans.” Publicado em 7 de agosto de 2026. https://claude.com/blog/auto-mode-default-in-claude-code
- TechCrunch. “Anthropic is turning Claude Code’s auto mode on by default.” Publicado em 9 de agosto de 2026. https://techcrunch.com/2026/08/09/anthropic-is-turning-claude-codes-auto-mode-on-by-default/
- InfoWorld. “Anthropic makes Claude Code’s auto mode default for paid users.” https://www.infoworld.com/article/4207959/anthropic-makes-claude-codes-auto-mode-default-for-paid-users.html
- Help Net Security. “Anthropic to put AI in charge of reviewing Claude Code actions by default.” Publicado em 10 de agosto de 2026. https://www.helpnetsecurity.com/2026/08/10/anthropic-claude-code-auto-mode/
- Simon Willison’s Weblog. “Auto mode is now the default in Claude Code for Pro, Max, and Team plans.” 8 de agosto de 2026. https://simonwillison.net/2026/Aug/8/auto-mode/
- The Register. “Claude Code puts auto mode in the driver’s seat.” 10 de agosto de 2026. https://www.theregister.com/ai-and-ml/2026/08/10/claude-code-puts-auto-mode-in-the-drivers-seat/5285326