Claude Code הפסיק לבקש רשות, והאחריות עברה אליכם מראש

מ-14 באוגוסט, Claude Code כבר לא עוצר כדי לבקש מכם אישור על כל פקודה. אנטרופיק (Anthropic) הפכה את auto mode לברירת המחדל אצל כל מנויי Pro, Max ו-Team. אין פיצ’ר להפעיל ואין דגל להוסיף לפקודה, כל סשן חדש נפתח ככה מעכשיו. את מקומכם ליד הכפתור תופס מודל שני, שקורא כל קריאת כלי לפני שהיא רצה.

הנימוק שאנטרופיק נותנת הוא מספר אחד שהיא מדדה אצל המשתמשים שלה. 97 אחוז מבקשות האישור מאושרות. מנגנון שמעביר כמעט את כל מה שנכנס אליו מאט את העבודה בעשרות שניות בכל שעה, ומשאיר תחושה נעימה שמישהו בדק. זה פחות או יותר כל מה שהוא עושה.

רגע, מה זה auto mode?

auto mode הוא מצב הרשאות. במקום לעצור מולכם על כל פעולה, Claude Code מעביר אותה קודם דרך בודק אוטומטי. הבודק נקרא קלסיפייר, כלומר מודל נפרד שכל תפקידו לקרוא קריאת כלי ולהחליט אם היא ממשיכה או נחסמת. בניגוד אליכם הוא לא מתעייף, והוא לא זוכר שאחת עשרה הבקשות הקודמות היו תמימות.

סדר ההחלטה קבוע, ושווה להכיר אותו. הוא מסמן בדיוק איפה נשארה לכם שליטה ישירה:

• קודם נבדקים כללי ההרשאות שכתבתם בעצמכם בקבצי ההגדרות: allow, ask ו-deny. הכלל הראשון שמתאים מנצח.
• אחר כך מאושרות אוטומטית פעולות קריאה בלבד, ועריכות קבצים בתוך תיקיית העבודה.
• כל השאר עובר לקלסיפייר: פקודות מעטפת, פניות רשת וכל מה שנוגע בעולם מחוץ לתיקייה.

ואם הקלסיפייר חוסם, אתם לא רואים כלום. המודל מקבל את הסירוב וממשיך לנסות דרך אחרת, במקום לעצור ולחכות לכם.

מה נחסם, ומה עובר בלי לשאול

הרשימה שנחסמת כברירת מחדל מפורטת בתיעוד, והיא ארוכה למדי:

• הורדה והרצה של קוד בסגנון curl | bash
• שליחת מידע רגיש ליעדים חיצוניים
• דיפלוי והרצת מיגרציות לייצור
• מחיקה המונית באחסון ענן, ומתן הרשאות IAM
• force push, וגם git reset --hard, git clean -fd ו-git stash drop, שלגביהם הקלסיפייר מניח שימחקו שינויים שלא נשמרו

הרשימה גדלה כמעט בכל גרסה. מאז יולי נוספו לה מיזוג pull request שאף אדם לא אישר, כתיבה למנהל סודות, שינוי רשומות DNS והדפסת טוקן חי לתוך התמליל.

מה שעובר בלי לשאול מספר עליכם לא פחות. עבודה על קבצים בתיקייה שלכם, התקנת תלויות שכבר מופיעות ב-lock file, קריאת .env ושליחת המפתח ל-API שאליו הוא שייך, בקשות HTTP לקריאה בלבד, ודחיפה לכל ענף של המאגר שאתם עובדים בו, כולל הראשי. ההנחה מאחורי כל אלה פשוטה. המאגר שפתחתם בו הוא שלכם, וכל השאר חיצוני עד שיוכח אחרת. ההנחה הזאת נוחה מאוד עד שהעסק שלכם מפסיק להיראות ככה.

יש גם קווים שאף מצב לא חוצה, וכדאי לדעת עליהם לפני שמנסים לעקוף אותם. כתיבה לתיקיות מוגנות כמו .git ו-.claude לא תאושר אוטומטית, גם אם כתבתם כלל allow מפורש שמתיר אותה. אותו דבר לגבי קבצים כמו .zshrc, .npmrc ו-.mcp.json. פקודת rm שמכוונת לשורש המערכת, לתיקיית הבית או לתיקייה ראשית לא תעבור בשום כלל ובשום hook. ואם הקלסיפייר חוסם שלוש פעולות ברצף או עשרים במצטבר, auto mode נעצר מעצמו והכלי חוזר לשאול אתכם. הספים האלה לא ניתנים לשינוי.

89 אחוז בניסוי, 17 אחוז בשטח

הנתון שהתגלגל לכל הכותרות מגיע מניסוי מבוקר על 1,053 בודקים בתשלום. באמצע סשן רגיל הוחלפה אצלם בקשת אישור אחת בפקודה מסוכנת בבירור. בני אדם סירבו לה ב-13.6 אחוז מהמקרים, auto mode היה חוסם אותה ב-89 אחוז. בוריס צ’רני (Boris Cherny), שמוביל את Claude Code, אמר ל-TechCrunch שהצוות שלו עובד ב-auto mode בלבד כבר חודשים, ושהוא לא מדמיין חזרה לבקשות אישור.

הפירוט ההנדסי שפרסמה אנטרופיק הוא המסמך המעניין יותר מבין השניים, כי הוא מודה במה שהכותרת מחביאה. הקלסיפייר בנוי בשני שלבים: מסנן מהיר שמחזיר טוקן אחד, ואחריו הסקה מלאה רק כשהמסנן הרים דגל. על תעבורה אמיתית הוא טועה לחומרה ב-0.4 אחוז מהמקרים, שיעור שקשה להתלונן עליו. אבל על פעולות שהמודל עשה מרוב התלהבות, מהסוג שקורה בשטח בלי שאף אחד שתל אותן שם, שיעור ההחמצה שלו הוא 17 אחוז. אנטרופיק כותבת במפורש שזה המספר הכן.

סיימון ויליסון (Simon Willison), שקורא את ההודעות האלה מקרוב יותר מרובנו, כתב שהוא ישמח להאמין שהבעיה נפתרה, אבל רוצה לראות אישור עצמאי. בדרך הוא מצביע על וקטור שלדעתו אף גרסה של auto mode לא תתפוס. חבילה זדונית מבקשת מהמשתמש להריץ פקודה שנראית לגיטימית לחלוטין. הפקודה גם עושה בדיוק את מה שהיא מבטיחה, ובדרך מדליפה משהו. הקלסיפייר יראה שם משתמש שביקש ופקודה שתואמת לבקשה, ויאשר.

בצד השני של המאזניים יש בדיקה חיצונית שכבר בוצעה. חברת Trajectory Labs בנתה 72 תרחישי הזרקת פרומפט עקיפה שלא נכללו באימון של אנטרופיק, והריצה כל אחד מהם עשר פעמים. מתוך 720 הניסיונות מול Claude ב-auto mode, אף אחד לא הצליח. מול GPT-5.6 Sol במצב המקביל שלו הצליחו 5.83 אחוז. ההסבר ארכיטקטוני ופשוט למדי: הקלסיפייר רואה את ההודעות שלכם, את קריאות הכלי ואת תוכן CLAUDE.md, אבל תוצאות הכלים נחתכות ממנו. תוכן עוין שיושב בתוך קובץ או בדף אינטרנט לא מגיע אליו בכלל.

מה זה משנה לעסק ישראלי שמריץ סוכנים

הנחת המוצא של הקלסיפייר, זו שהעולם שלכם מסתיים בתיקיית העבודה ובריפו שהיא מחוברת אליו, עובדת מצוין למפתח יחיד עם פרויקט אחד. ברגע שהעסק מורכב יותר מזה, היא מתחילה לחרוק. קחו בית תוכנה קטן שמחזיק שלושה פרויקטים של לקוחות, או צוות אוטומציה שדוחף קוד ל-GitLab של הלקוח, מריץ בילדים מול רג’יסטרי פרטי וכותב לבאקט אחסון משותף.

הם יגלו שדווקא הפעולות השגרתיות ביותר שלהם הן אלה שנתקעות. מבחינת הקלסיפייר כל אחת מהן מכוונת החוצה, וכל יעד חיצוני הוא יעד הדלפה פוטנציאלי עד שמישהו אומר אחרת.

איפה כותבים מה נחשב פנימי אצלכם

מי שאומר אחרת הוא קובץ, וזה המקום המדויק שאליו עברה עבודת הפיקוח. בהגדרות המשתמש, תחת autoMode.environment, מתארים מה נחשב פנימי אצלכם: ארגון ה-GitHub, הדומיינים, הבאקטים, שרת ה-CI, הרג’יסטרי. כותבים שם משפטים בפרוזה רגילה, לא ביטויים רגולריים ולא תבניות. זה בערך כמו להסביר למפתח חדש איפה הוא נמצא ובמה מותר לו לגעת.

יש שם גם משבצת שראוי שמישהו בעסק יטפל בה בכובד ראש, ושמה מיקומי מידע רגיש והקהלים שלהם. כל עוד היא ריקה, הקלסיפייר מנחש לפי היוריסטיקה גסה איזה מסד נתונים מחזיק פרטי לקוחות ואיזה לא. אם יש לכם באקט עם קבצי לקוחות, או סכימה עם טלפונים ומיילים, השורה שמצהירה על זה שווה יותר מכל הרצאה על אבטחת סוכנים.

בכיוון ההפוך, כשאתם רוצים בן אדם דווקא בנקודה מסוימת, כלל ask שממוקד לתוכן הפקודה נבדק לפני הקלסיפייר ועוצר תמיד:

{
  "permissions": {
    "ask": ["Bash(git push *)", "Bash(gh pr create *)"]
  }
}

והפרט שהכי קל לפספס הוא שהקלסיפייר קורא את אותו CLAUDE.md שהמודל קורא. שורה כמו “לא עושים force push בפרויקט הזה” מכוונת עכשיו את שניהם בבת אחת. הקובץ שרובנו התייחסנו אליו כאל הערות סגנון והנחיות טון הפך למסמך שמגדיר גבולות תפעוליים. מי שכתב אותו ברישול לפני חצי שנה, כדאי שיחזור אליו השבוע.

איך חוזרים לאישור ידני

מי שרוצה את הבקשות בחזרה מוזמן. בטרמינל לוחצים Shift+Tab כדי לעבור בין מצבי ההרשאות, ומי שרוצה לקבע את זה לכל הסשנים מגדיר defaultMode בקובץ ההגדרות האישי. גם את הטענה שהמנגנון החדש שומר טוב יותר מבן אדם עייף מותר לדחות עד שתגיע בדיקה עצמאית.

יש כאן מלכודת אחת שרוב האנשים יגלו בדרך הקשה. אפשר לומר לסוכן בשיחה “אל תדחוף עד שאני עובר על זה”, והקלסיפייר יכבד את זה ויחסום פעולות תואמות, גם כשהכללים הרגילים היו מתירים אותן. אלא שהגבול הזה נקרא מהתמליל בכל בדיקה מחדש. כיווץ הקשר שמוחק את ההודעה שבה אמרתם אותו מוחק גם את הגבול, בלי אזהרה ובלי סימן. אמירה בשיחה תלויה בזיכרון של הסשן, בעוד שכלל deny בקובץ ההגדרות ממשיך להתקיים גם אחרי שכולם שכחו למה כתבו אותו.

יש כאן גם משהו לא נעים לגבי המצב הקודם, שקל לפספס בתוך הוויכוח על המצב החדש. אם אישור ידני תפס 13.6 אחוז מהפקודות המסוכנות, אז בכל אותן שנים שבהן לחצנו Enter על כל בקשה, מה שהחזקנו ביד דמה יותר לטופס חתום מאשר לבן אדם שבודק. השליטה לא נלקחה מכם עכשיו. היא עברה מרגע ההרצה לרגע ההגדרה, ומי ששולט היום הוא מי שיושב וכותב את הכללים לפני שהסשן בכלל נפתח.

מכאן, אנטרופיק צריכה להוריד את שיעור ההחמצה של 17 אחוז בגרסאות הבאות, ובודקים חיצוניים צריכים לאשר את המספרים שהיא פרסמה. ויליסון מחכה בדיוק לזה, ו-Trajectory Labs בדקה עד כה וקטור אחד. אצלכם המשימה קטנה יותר וברורה יותר: שעה מול קובץ ההגדרות, שבה מישהו כותב איפה יושב המידע הרגיש של הלקוחות, מה נחשב פנימי, ואיפה הסוכן חייב לעצור ולשאול. עד שהשעה הזאת נקבעת ביומן, הפיקוח על הסוכנים שלכם הוא ניחוש של מודל לגבי עסק שהוא לא מכיר.