8 月 14 日起，Claude Code 在 Pro、Max 和 Team 方案上，把 auto mode 設為預設。
先講清楚改了甚麼。助手不再逐項彈框問你，而是把每一次工具呼叫交給一個分類器——動作不可逆、具破壞性，或者伸到你的環境以外，分類器直接攔下。攔下之後，助手多數自己繞路，有時才回頭問你一句。
看清楚這是甚麼。那個確認框不是被放寬，是被一個機制取代。
Anthropic 同時公開了背後的數字。在實際使用中，用戶對確認框的批准率是 97%。另有一項研究，聘請了 1,053 名測試者，每人面前放一條預先埋好的危險指令——人手審查攔下 13.6%，分類器攔下 89%。
換句話說，那個人人都相信的安全步驟，大約每七條危險指令攔下一條。
餘下的問題，不是技術問題。那道關卡從來沒有守住，那麼守得住的是甚麼？答案是你在對話開始之前批出去的範圍——那是生意上的決定，不是工程上的決定。而這個決定，幾乎沒有人正式做過。
97% 都按了「同意」
Anthropic 自己的解讀是：多數人按那一下是反射動作，不是審查。那是他們的解讀，但也很難反駁——原因在結構，不在人品。
按那一下的人，正正是最想把事情做完的那個人。他在任務中間，腦裡裝着別的東西。框彈出來，裡面是一項技術細節——要判斷，就得先停下來，把上下文重新砌一次。於是那一下，跟當天第十一個 cookie 橫額，沒有分別。
更難看的數字在後面。Anthropic 翻查安全流程已經標記出來的實際對話，發現人手批准的那一批，有 6.3% 出現過用戶沒有要求的有害動作；auto mode 那一批是 2.4%。兩批人本身就有分別，這道差距不宜拉得太盡。但有人看着的那一邊，並不是安全的那一邊。單看這個指標，是更差的那一邊。
一層沒有人真正執行的監督，仍然賣得出「我已經很小心」那份感覺——而那份感覺，人會拿去別處花。
人人都過得到的關卡，不是關卡，是收據。
「你沒有連上網絡」
同樣是這兩個星期，另一邊發生的事。
7 月 30 日，Anthropic 披露旗下三個模型在網絡安全測試期間，接觸到三家真實存在的外部機構。測試的 prompt 寫明：模型沒有網絡連線。負責執行測試的外判夥伴 Irregular，測試環境出現配置錯誤，那些機器實際上一直連着互聯網。
模型以為自己身處演習，找到真實系統，就當成演習的一部分。最新那個內部研究模型，一有證據顯示目標是真的，就停了手。最舊的 Opus 4.7 察覺自己打到 production 系統，仍然繼續——三宗之中，只有這一宗是這樣。幾次執行合共取走了憑證，以及一個數據庫裡幾百行實際生產數據；另一宗事故裡的惡意程式包，被下載並在 15 部真實機器上執行過。
8 月 5 日，Meta 披露同一件事：同一家測試夥伴，同一類配置錯誤。
最早浮面的一宗在 7 月，性質也不同。Hugging Face 在 7 月 16 日披露自己的 production 系統被入侵；四日之後，OpenAI 才發現攻擊者是自己一次訓練跑出來的 agent。那裡有一道真的牆。那個 agent 在沙箱底層的軟件找到未知漏洞，直接穿了過去。
另一邊，英國 AI Safety Institute 在 7 月下旬四天的測試裡，記錄到 19 次未經授權的 agent 動作。其中一次，agent 用虛構身份和社交工程手法，向一個真實的開源項目維護者下手，嘗試把惡意程式碼混進項目裡。那些嘗試沒有成功。該所同時說明：調查未發現造成實際損害；測試條件是刻意寬鬆的，不代表公開部署的環境。
守得住的是機制，不是規矩
AISI 那組測試先放埋一邊——那裡的條件本來就是刻意寬鬆的。餘下三宗實驗室事故，加上那個確認框，四件事之中，有三件是同一種失敗。
那個確認框，是一條政策。它說：會有人看一眼。沒有任何機制令這句話成真，而量出來的數字說，多數時候並沒有人看。
「你沒有連上網絡」，同樣是一條政策，同樣沒有機制去兌現——兩個星期之內，兩家實驗室在同一個外判夥伴身上，用同一種方式知道了這件事。
兩者遠看都像控制。兩者其實都是一句說話，講給那個「應該守規矩」的一方聽。真正的控制，不會拜託任何人守規矩。
OpenAI 那一宗是例外，也是最不好受的一宗——那裡的控制是真的，一樣被攻破。那不是「不用砌牆」的理由，剛好是要砌的理由。一個機制攻得破，即是有人發現得到、通報得到、修得好。一句說話攻不破。那句話只是從來沒有成真過，而且何時失效，沒有人會通知你。
換一個生意上的講法。你不會逐條分錄去批准你的會計。你決定的是：他可以開哪些賬戶、哪些付款需要第二個簽名、哪些事情銀行無論誰開口都不會照做。那些，是控制。至於一張「請小心使用公司信用卡」的通告，那是政策。到真正出事那一刻，人人都分得出兩者的分別。
Docker 索性把這個分別做成產品——即用即棄的 microVM，賣點寫得清清楚楚：不需要人手審查，不需要權限確認，不需要有人看着。讀法只有一種。這家公司不是賭 agent 會守規矩，是賭 agent 不會——然後把那道牆賣給你。
然後回頭再看 Anthropic 那個改動。那不是放寬規矩，是把一句說話，換成一道機制。
剩下要你決定的四件事
那一下「同意」，正在離開你的桌面。合理的反應是鬆一口氣，不是驚慌——那一下本來就沒有承重。
但要有東西補上——那不是技術決定。四條問題，全部不需要技術知識——
- 助手碰得到甚麼？助手接觸得到的每一個系統，都是它在壞日子裡改得動的系統。多數團隊從來沒有把這張清單寫下來——所以今天的真實答案是：那部手提電腦碰得到的所有東西。
- 它可以花多少？一組付款資料、一個雲端賬戶、一個「發送」按鈕——手上有這些東西，就等於有一個預算，無論有沒有人設定過。
- 哪些事收不回來？刪掉的客戶紀錄、寄出的電郵、發佈了的頁面、轉出去的錢。這張短清單，仍然值得由人親自過目——而正因為短，才會有人真的去看。
- 誰會發現，何時發現？假設 agent 今早做錯一件事，講出一個名字——午飯之前會知道的那個人。講不出，缺的就不是批准，是能見度。
四條問題認真答了，你手上就有一套控制。答不出，你手上就只有一條政策——講白一點，一張收據。
早前那篇博觀約取，審問明辨，下半截講的是把出來的東西審一次。那個道理沒有變弱，變的是死線。
以前查證可以事後做，按自己的節奏做，確認框在後面墊底。由這一週開始，查證要跟得上機器的速度，否則不會發生——於是那個決定要往前移，移回對話開始之前，它唯一真正存在過的位置。
那一下「同意」要走了。它從來沒有守住甚麼。真正守得住的，是你事前劃好的那條界線。