앤트로픽이 클로드 코드(Claude Code)의 권한 처리 방식을 근본적으로 바꾼다. 8월 14일부터 Pro·Max·Team 요금제의 새 세션은 '자동 모드(auto mode)'로 실행된다. 그동안 클로드 코드는 파일 쓰기나 셸 명령 같은 도구 호출마다 사용자에게 승인 여부를 물었지만, 자동 모드는 이 확인 절차를 매번 띄우는 대신 각 도구 호출을 분류기(classifier)에 통과시켜 위험한 동작만 걸러내는 구조다. 이미 다른 기본값을 직접 지정해 둔 사용자에게는 전환 여부를 묻는 일회성 안내가 뜰 수 있고, 기본값을 고정(pin)해 둔 경우에는 변화가 없다. 분류기가 도구 호출마다 소량의 토큰을 추가로 쓰는데, 이 오버헤드에 대한 과금은 Pro·Max·Team 사용자에 한해 발표 시점부터 중단됐다.
다만 이 변경이 모든 채널에 동시에 적용되는 것은 아니다. 클로드 엔터프라이즈, 클로드 API, AWS·Amazon Bedrock·구글 클라우드 에이전트 플랫폼·마이크로소프트 파운드리 등에서는 당분간 자동 모드가 옵트인으로 남는다. 관리자에게 검토 시간을 주기 위한 조치이며, 앤트로픽은 한 달 안에 클라우드 파트너들과 협의해 이들 환경에서도 기본값으로 전환하고 분류기 오버헤드 과금을 없앨 계획이라고 밝혔다. 그전까지 엔터프라이즈 관리자는 관리형 설정(managed settings)을 통해 자동 모드를 조직 기본값으로 지정할 수 있다.
왜 승인 프롬프트를 걷어내려 하는가
변경의 배경에는 수동 검토가 사실상 형식적으로 작동한다는 데이터가 있다. 클로드 코드 사용자는 권한 프롬프트의 97%를 승인한다. 대부분은 안전하고 반복적인 명령이겠지만, 승인율이 이 정도로 높다는 것은 상당수 사용자가 내용을 실제로 검토하기보다 습관적으로 클릭하고 있음을 시사한다. 반면 클로드가 계획(plan)을 제시해 승인을 요청할 때는 39%가 거부되는데, 개별 권한 요청의 거부율은 3%에 불과하다. 같은 사용자라도 큰 단위의 판단에는 제동을 걸지만 세부 명령은 그냥 넘긴다는 뜻이다. 설정 파일에서도 같은 경향이 보인다. 2026년 6월 기준 활성 CLI 사용자의 49.5%가 Bash 허용 규칙을 직접 만들었고, 62%는 bypassPermissions를 쓰거나 Bash에 대해 '다시 묻지 않기'를 눌렀으며, 대화형 세션의 25%가 아예 권한 우회 모드로 시작한다.
자동 모드는 이 부담을 사람에게서 시스템으로 옮긴다. 분류기는 되돌릴 수 없거나 파괴적이거나 사용자 환경 바깥을 향하는 동작을 차단하는 데 초점을 맞춘다. 무언가 막히면 클로드는 대개 스스로 더 안전한 경로를 찾거나 사용자에게 직접 진행 여부를 묻고, 진전이 없을 때—연속 3회 차단 또는 세션 누적 20회 차단—에는 수동 승인 방식으로 되돌아간다. 기존 권한 규칙은 자동 모드에서도 분류기보다 먼저 적용되지만, python:* 같이 임의 코드 실행을 허용할 만큼 광범위한 규칙은 예외다. 이런 규칙은 명령이 분류기를 통째로 건너뛰게 만들기 때문에 자동 모드에서는 무력화된다. 설정 파일 자체는 수정되지 않으며, 다른 모드로 바꾸는 순간 규칙은 다시 살아난다.
안전성 검증 데이터
앤트로픽은 지난 수개월간 자동 모드가 평균적인 사용자의 수동 검토만큼 안전한지를 시험했다고 밝혔다. 가장 눈에 띄는 것은 1,053명의 유료 테스터를 대상으로 한 통제 실험이다. 세션 도중 권한 프롬프트 하나가 명백히 위험한 명령으로 바뀌었을 때, 사람 테스터가 이를 걸러낸 비율은 13.6%(1,053명 중 143명)에 그친 반면 자동 모드는 같은 명령의 89%(937건)를 차단했다. 정면 비교에서 자동 모드는 사람이 승인한 800건을 막았고, 사람이 자동 모드보다 더 걸러낸 것은 6건뿐이었다. 게다가 세션이 길어질수록 사람의 성적은 나빠졌다. 초반에는 위험 명령의 약 17%를 차단하던 것이 프롬프트 50개를 넘긴 뒤에는 약 5%로 떨어진 반면, 자동 모드의 차단율은 세션 길이와 무관하게 일정했다. 실제 프로덕션 세션 분석에서도 수동 승인 세션은 자동 모드 세션보다 심각한 의도치 않은 피해를 두 배 넘게 포함했고, 프로덕션급 심각도(7 이상)에서 사용자가 명시적으로 요청하지 않은 유해 동작이 담긴 비율은 수동 6.3% 대 자동 2.4%였다.
외부 검증도 병행됐다. 영국 AI 안전 스타트업 아폴로 리서치(Apollo Research)와의 2주 파일럿에서는 합성 공격을 실제 코딩 궤적에 주입해 분류기를 강화했고, 저장소 공개 범위나 git 상태 같은 환경 맥락을 더 준 결과 별도 검증셋에서 놓쳤던 공격의 절반가량을 잡아냈다. 전체 미탐율은 12%에서 7%로 떨어졌다. 또 다른 업체 트라젝토리 랩스(Trajectory Labs)가 수행한 간접 프롬프트 인젝션 평가에서는 72개 시나리오를 각 10회씩 시험했는데, 자동 모드로 구동된 클로드 모델들에 대한 720회 공격 시도는 단 한 건도 성공하지 못했다. 다만 이들 수치는 분류기의 약점을 찾도록 설계된 적대적·합성 공격에 대한 것이므로 실제 트래픽의 오류율로 받아들여서는 안 된다는 단서가 붙는다.
실무자가 짚어야 할 점
생산성 측면의 유인도 분명하다. 앤트로픽에 따르면 팀·엔터프라이즈 도입 조직에서 자동 모드 사용자는 약 25% 더 많은 PR을 낸다. 반복되는 확인이 사라지면 클로드가 중단 없이 더 오래 자율적으로 작업할 수 있고, 밤새 실행해 아침에 여러 PR을 받는 식의 장시간 워크로드가 현실적으로 가능해진다는 것이다. 어도비, 뉴로, 구스토, 가너 헬스 등이 이미 자동 모드를 프로덕션 기본값으로 운영 중이라고 소개됐다.
그럼에도 실무 관점에서 두 가지는 분명히 인식하는 편이 좋다. 첫째, 자동 모드는 위험을 없애는 것이 아니라 판단 주체를 사람에서 분류기로 옮기는 설계다. 되돌릴 수 없거나 환경 바깥을 향하는 동작을 겨냥하지만 만능은 아니며, 특히 python:* 류의 광범위한 허용 규칙을 적극 활용해 온 팀이라면 자동 모드에서 그 규칙이 무력화된다는 점 때문에 기존 워크플로가 예상과 다르게 동작할 수 있다. 둘째, 발표된 안전성 지표의 상당수는 테스트 환경과 옵트인 계정, 합성 공격에 기반한 값이라 자신들의 실제 코드베이스에 그대로 대입하기는 어렵다. 결국 8월 14일 이후 팀 정책을 재점검하고, 기본값을 고정할지·자동 모드를 받아들일지·엔터프라이즈라면 관리형 설정으로 언제 전환할지를 조직 상황에 맞춰 결정하는 것이 남은 과제다.