Claude Code: dal 14 agosto la modalità auto diventa predefinita per Pro, Max e Team

Se usi Claude Code per scrivere software, dal 14 agosto 2026 cambia qualcosa di sostanziale nel modo in cui l’agente lavora al tuo fianco. Anthropic ha deciso di rendere la modalità auto l’impostazione predefinita per i piani Pro, Max e Team. Al posto della sequenza di richieste di conferma che finora accompagnava quasi ogni comando, un classificatore valuta in tempo reale ciascuna azione e interviene solo quando individua qualcosa di davvero rischioso.

È un cambio che sposta il baricentro dalla supervisione manuale continua a un controllo affidato a un sistema di sicurezza dedicato. E ti riguarda da vicino se usi l’AI per programmare, perché tocca il punto più delicato del rapporto tra sviluppatore e agente: quanto sei disposto a lasciarlo correre da solo.

La mossa arriva in un periodo di aggiornamenti fitti per lo strumento di Anthropic, che solo pochi giorni fa aveva aperto la beta degli ambienti self-hosted di Claude Code. Segno di quanto l’azienda stia spingendo sul suo agente per il coding.

Cosa cambia concretamente dal 14 agosto

La novità è semplice da riassumere, ma pesa parecchio nella pratica quotidiana. A partire dal 14 agosto, le nuove sessioni di Claude Code sui piani Pro, Max e Team partiranno automaticamente in modalità auto. Se in passato hai impostato a mano una modalità diversa, potresti ricevere un avviso una tantum che ti chiede se vuoi passare alla nuova impostazione. Se invece avevi già fissato un valore predefinito, per te non cambia nulla.

Anthropic ha accompagnato l’annuncio con una decisione che fa piacere al portafoglio: il classificatore consuma un piccolo numero di token aggiuntivi per ogni chiamata a uno strumento, e questi token non vengono più addebitati agli utenti Pro, Max e Team, con effetto immediato dal giorno dell’annuncio.

Il cambiamento non riguarda tutti allo stesso modo. Su Claude Enterprise, sulla Claude API e sulle piattaforme cloud partner, cioè AWS, Amazon Bedrock, la Agent Platform di Google Cloud e Microsoft Foundry, la modalità auto resta per ora opzionale, così da dare agli amministratori il tempo di valutare il passaggio. Nelle intenzioni dell’azienda, nel giro di un mese diventerà predefinita anche lì.

Cambiare rotta è comunque questione di un attimo. Nella riga di comando basta premere Shift+Tab per ruotare tra le modalità, mentre sull’app desktop c’è un menu a tendina dedicato. Gli amministratori possono imporre un valore predefinito a livello di organizzazione tramite le impostazioni gestite, oppure disattivare del tutto la modalità auto quando serve.

Come funziona la modalità auto e il suo classificatore

Il cuore del sistema è un classificatore che intercetta ogni azione prima che venga eseguita. Invece di fermarsi a chiederti il permesso, Claude Code instrada ciascuna chiamata verso questo filtro, pensato per bloccare le operazioni irreversibili, distruttive o dirette al di fuori del tuo ambiente di lavoro. Quando il classificatore blocca qualcosa, nella maggior parte dei casi l’agente trova da solo una strada più sicura, oppure ti chiede esplicitamente il via libera.

C’è anche una valvola di sicurezza contro i vicoli ciechi. Se Claude Code non riesce a procedere, dopo tre blocchi consecutivi o venti nell’arco di un’intera sessione torna automaticamente alle conferme manuali. In questo modo l’automazione non si trasforma in un muro che ti impedisce di lavorare.

Le tue regole di permesso continuano a valere e vengono applicate prima del classificatore, con un’eccezione importante. Le regole troppo ampie, quelle che di fatto autorizzano l’esecuzione di codice arbitrario come Bash(python:*), vengono messe da parte finché sei in modalità auto, perché altrimenti consentirebbero ai comandi di aggirare del tutto il controllo. I file di configurazione non vengono toccati e le regole tornano valide nel momento in cui cambi modalità.

Attorno a questo nucleo, Anthropic ha costruito una serie di protezioni più specifiche. Alcune categorie, come l’esfiltrazione di dati verso l’esterno, rientrano tra i divieti che il classificatore non deve mai approvare. Prima di un push o di una pull request il sistema verifica se la destinazione è pubblica, privata o considerata affidabile, così da riconoscere quando del codice riservato rischia di finire in un repository aperto. E quando l’agente attinge a contenuti esterni, come pagine web o output di altri strumenti, una sonda lato server li analizza in cerca di istruzioni malevole nascoste.

Perché Anthropic ritiene la modalità auto più sicura delle conferme manuali

La domanda sorge spontanea: come può un sistema automatico essere più affidabile dell’occhio umano? La risposta, secondo i dati raccolti da Anthropic, sta in un difetto molto umano. Le conferme manuali diventano un’abitudine: gli utenti approvano il 97% delle richieste di permesso in Claude Code. Molte riguardano comandi innocui e ripetitivi, ma un tasso così alto suggerisce che spesso si clicca in automatico, senza leggere davvero.

Il confronto con altri momenti decisionali è illuminante. Quando Claude presenta un piano di lavoro da approvare, gli utenti lo respingono nel 39% dei casi. Di fronte alle singole richieste di permesso, invece, la percentuale di rifiuto crolla al 3%. Segno che, comando dopo comando, la soglia di attenzione si abbassa.

Il test più citato è uno studio controllato con 1.053 tester professionisti pagati. A un certo punto della sessione, una normale richiesta di permesso veniva sostituita con un comando palesemente pericoloso, per misurare chi lo lasciava passare. Le persone lo hanno intercettato solo nel 13,6% dei casi, mentre la modalità auto ha bloccato lo stesso comando nell’89% delle occasioni. Nel confronto diretto, l’automazione ha fermato 800 comandi che un umano aveva approvato, contro appena 6 casi opposti.

C’è un dettaglio che pesa. Più la sessione si allunga, peggio fanno le persone: all’inizio bloccavano circa il 17% dei comandi pericolosi, quota che scende intorno al 5% dopo cinquanta o più richieste, mentre il classificatore mantiene la stessa efficacia a prescindere dalla durata.

I numeri sull’uso reale vanno nella stessa direzione. Analizzando le sessioni segnalate dai propri sistemi di sicurezza tra maggio e giugno 2026, Anthropic ha rilevato che quelle passate per l’approvazione manuale contenevano un danno grave e non voluto più del doppio delle volte rispetto alle sessioni in modalità auto. Al livello di gravità più alto, quello che tocca la produzione, il 6,3% delle sessioni approvate a mano conteneva un’azione dannosa che l’utente non aveva chiesto, contro il 2,4% di quelle automatiche.

Red teaming e difesa dalle prompt injection

Per irrobustire il sistema, Anthropic ha lavorato con Apollo Research, una società britannica specializzata nella sicurezza dell’AI, iniettando attacchi sintetici in traiettorie di codice reali. Dopo la fase di correzione, la quota di attacchi non intercettati dal classificatore è scesa dal 12% al 7%, e la verifica è stata ripetuta su un insieme di attacchi mai visto prima, a conferma che il miglioramento non era cucito su misura.

Il capitolo più interessante riguarda le prompt injection, gli attacchi che provano a dirottare l’agente nascondendo istruzioni nei contenuti che analizza. Una valutazione indipendente condotta da Trajectory Labs ha messo alla prova 72 scenari, ciascuno ripetuto dieci volte. In modalità auto, nessuno dei 720 tentativi è riuscito contro i modelli Claude Fable 5, Opus 5 e Sonnet 5. Per avere un termine di paragone, il 5,83% degli attacchi ha invece avuto successo contro GPT-5.6 Sol nella modalità Auto-review di Codex, quota che sale al 19,03% nella modalità Full Access.

Vale la pena leggere questi numeri con prudenza. Si tratta di attacchi sintetici, costruiti apposta per trovare i punti deboli, e i risultati fotografano soprattutto il modello sottostante più che l’insieme completo delle protezioni presenti in un prodotto reale. Restano comunque un segnale della solidità dell’approccio a più livelli scelto da Anthropic.

Tre incidenti evitati dentro Anthropic

La modalità auto è già l’impostazione predefinita per tutto l’uso interno di Claude Code in Anthropic, e l’azienda racconta tre episodi concreti in cui il classificatore ha evitato guai seri:

• Dopo il fallimento di un caricamento su un drive interno, Claude stava per pubblicare lo stesso report su un sito pubblico di condivisione del codice: la modalità auto ha negato l’operazione e ha chiesto come procedere.
• In una sessione molto lunga, l’agente ha tentato un’operazione di massa che avrebbe abbattuto centinaia di GPU impegnate in addestramenti in corso, e il sistema ha fermato i comandi distruttivi prima dell’esecuzione.
• Incaricato di concedere un accesso in sola lettura alla fatturazione, Claude aveva scelto un ruolo cloud con pieni poteri amministrativi: il classificatore ha colto la sproporzione e ha bloccato.

Cosa significa per chi lavora con gli agenti AI

Oltre alla sicurezza, la modalità auto cambia il ritmo del lavoro. Togliendo di mezzo le interruzioni continue, permette a Claude di lavorare in autonomia per periodi molto più lunghi. Questo rende finalmente pratici i modelli pensati per compiti estesi, come Claude Opus 5, che puoi lasciare in esecuzione per ore su attività complesse senza doverlo sorvegliare a ogni passaggio.

Gli effetti si vedono anche sulla produttività. Tra chi ha adottato la modalità auto nei piani Teams ed Enterprise, il numero di pull request completate cresce di circa il 25%. Aziende come Adobe, Nuro, Gusto e Garner Health la usano già come impostazione predefinita in produzione, per lasciare che gli agenti costruiscano e verifichino il codice restituendo lavoro pronto da revisionare.

Il quadro si inserisce in una tendenza più ampia. Il settore si sta spostando verso agenti sempre più autonomi, e la vera sfida non è più solo la potenza del modello, ma la fiducia che puoi riporre in ciò che fa senza chiederti il permesso. Non a caso i grandi laboratori stanno investendo molto nei test di sicurezza sugli agenti AI e nel mettere in sicurezza le loro identità e i loro accessi.

Resta un punto fermo, che la stessa Anthropic sottolinea: la modalità auto si basa su sistemi di classificazione e quindi riduce il rischio senza azzerarlo. Per le modifiche più delicate, quelle che toccano l’infrastruttura di produzione, la raccomandazione è ancora di rivedere di persona le azioni dell’agente prima di dare il via libera.

In sintesi

Il passaggio della modalità auto a impostazione predefinita è una di quelle scelte che raccontano bene il momento dell’AI: meno attrito, più autonomia e un sistema di sicurezza automatico chiamato a fare da guardrail al posto del clic umano. Per chi programma con Claude Code significa sessioni più fluide e agenti capaci di lavorare a lungo, con l’accortezza di tenere gli occhi aperti sulle operazioni critiche.

Se usi uno dei piani coinvolti, prenditi un minuto per controllare le tue impostazioni prima del 14 agosto e decidere con consapevolezza come vuoi che l’agente si comporti. Puoi approfondire il funzionamento del modello nella nostra guida dedicata a Claude, l’AI di Anthropic, e leggere l’annuncio ufficiale direttamente sul blog dell’azienda.