Claude Auto Mode Güvenlik Kontrol Listesi — 15 Madde

00 · 5 gün kaldı

14 Ağustos'ta Claude Code'un izin sorma şekli değişiyor.

Anthropic 7 Ağustos'ta duyurdu: 14 Ağustos'tan sonra açılan yeni oturumlarda Pro, Max ve Team planlarında varsayılan izin modu Auto Mode oluyor — komutlar tek tek onayınıza gelmeden, önce bir "hakem" modele (sınıflandırıcı) uğrayıp geçiyor. Kendi varsayılanınızı zaten ayarladıysanız hiçbir şey bozulmuyor; sadece bir kez "geçmek ister misiniz" bildirimi görüyorsunuz, kabul etmezseniz eski varsayılanınız kalıyor.

Anthropic'in kendi test verisine göre (1.053 ücretli test kullanıcısıyla): insan gözden geçirme tehlikeli komutların yalnızca %13,6'sını yakalamış (kullanıcılar izin istemlerinin %97'sini zaten onaylıyor — gerçek inceleme değil refleks). Aynı test setinde Auto Mode'un sınıflandırıcısı tehlikeli komutların %89'unu bloke etmiş. Bu, Anthropic'in kendi metodolojisi — bağımsız doğrulanmış değil, %100 de değil.

Aşağıda önce videoda geçen 3 madde, ardından geri kalan 12 madde var — gerçek ayar adı, kopyalanabilir JSON, gerçek davranış eşiği. Toplamı, kendi settings.json'ınızı 14 Ağustos'a kendi şartlarınızla hazırlamak için yeter.

K6

Proje dosyanızdaki "defaultMode: auto" artık sessizce yok sayılıyor

Claude Code v2.1.142'den beri .claude/settings.json veya .claude/settings.local.json içine yazılan defaultMode: "auto" satırı yok sayılıyor. Yalnız kullanıcı düzeyindeki ~/.claude/settings.json geçerli. Amaç net: bir repo (kendi projeniz veya klonladığınız bir başkasının reposu) kendine sessizce Auto Mode yetkisi veremesin.

# .claude/settings.json içinde — YOK SAYILIR
{"permissions": {"defaultMode": "auto"}}

Projenize bu satırı yazdıysanız ve "neden tutmuyor" diye takıldıysanız cevap bu — satırı kullanıcı dosyanıza taşıyın (K3'te doğru yeri gösteriyorum).

K8

Kendi altyapınızı hakeme tanıtın: autoMode.environment

Sınıflandırıcı varsayılan olarak yalnız çalışma dizinini ve oturum başında tanımlı git remote'ları güvenilir sayar; geri kalan her şeyi "dış" kabul eder. Kendi sunucunuz, kendi org'unuz dahi bu listede yoksa bloke olur. Çözüm: autoMode.environment dizisine altyapınızı düz cümlelerle yazmak.

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.com/benim-orgum altındaki tüm repolar bizimdir",
      "Trusted internal domains: staging.firmam.com bizim test sunucumuzdur"
    ]
  }
}

"$defaults" satırını silmeyin — o olmadan bu dizi Anthropic'in kendi varsayılan güven listesinin TAMAMININ yerine geçer, eklemek yerine değiştirir. Aşağıda bu tuzağın tamamını ve daha fazla alanı (bucket, kayıt defteri, hassas konum) anlatıyorum.

K13

Sonsuza kadar otomatik mi? Hayır: 3 art arda ya da 20 toplam blok

Sınıflandırıcı aynı işi 3 kez art arda ya da bir oturumda toplam 20 kez bloke ederse, Auto Mode duraklıyor ve Claude Code tekrar manuel onaya dönüyor. Bu eşikler sabit — ayardan değiştirilemiyor. Bir eylemi onaylamanız art arda sayacı sıfırlıyor; toplam sayaç oturum boyunca kalıyor ve yalnız kendi limiti tetiklendiğinde sıfırlanıyor.

K1

14 Ağustos'ta gerçekte kim etkileniyor

Sadece yeni oturumlar — açık/devam eden oturumlar hiç etkilenmiyor. Sadece Pro, Max, Team planları; kendi belirlediğiniz bir varsayılan (örn. plan) varsa o kalıyor, tek seferlik "geçmek ister misiniz" bildirimi görüyorsunuz. Team ve Enterprise planlarında Auto Mode zaten varsayılan olarak açık — yönetici managed settings'te permissions.disableAutoMode ile kapatabiliyor (K11). API ve diğer sağlayıcılarda (AWS, Bedrock, Vertex, Foundry) Auto Mode zaten kullanılabilir durumda, model desteğine bağlı (K4).

K2

Tek tuşla mod değiştirme: Shift+Tab

CLI'da Shift+Tab modları döndürür: default (Manuel) → acceptEdits → plan; Auto ve Bypass hesabında açıksa döngüye eklenir (Auto en sona, Bypass Plan'dan hemen sonra girer). VS Code'da prompt kutusunun altındaki mod göstergesine tıklayın; Desktop'ta gönder butonunun yanındaki mod seçici. Durum çubuğu aktif modu gösterir: ⏸ manual mode on, ⏵⏵ auto mode on gibi.

K3

Kalıcı kararınızı doğru dosyaya yazın: permissions.defaultMode

Doğru yer kullanıcı düzeyi dosya — proje dosyası değil (K6'daki uyarı burada devreye giriyor):

{
  "permissions": {
    "defaultMode": "plan"
  }
}

Geçerli değerler: default (Manuel, "manual" takma adı da çalışır), acceptEdits, plan, auto, dontAsk, bypassPermissions. Bunu yazan kullanıcı 14 Ağustos geçişinden hiç etkilenmez — Auto Mode'un ona sorulacak tek seferlik bildirimi bile görünmez.

K4

Modeliniz destekliyor mu, tam liste

Anthropic API ve Claude Platform on AWS'de: Opus 4.6+, Sonnet 4.6+ veya Fable 5. Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry ve oturum açmış Claude apps gateway'de: yalnız Sonnet 5, Opus 4.7+ veya Fable 5. Sonnet 4.5, Opus 4.5, Haiku ve claude-3 ailesi hiçbir sağlayıcıda desteklenmiyor — Auto Mode seçeneği listede hiç çıkmıyor. "Neden bende yok" sorusunun cevabı çoğu zaman budur, geçici bir arıza değil.

K5

Hakem hangi model, faturaya nasıl yansıyor

Sınıflandırıcı varsayılan olarak Claude Sonnet 5 üzerinde çalışır — sizin /model seçiminiz değil, ayrı bir çağrı. Oturumun modeli Sonnet 4.6 ise veya availableModels Sonnet 5'i dışlıyorsa, hakem oturumun kendi modeline döner; oturum Fable 5 üzerindeyse bir Opus modeline döner. Enterprise planlarında ve Claude API / AWS / Bedrock / Vertex / Foundry hesaplarında bu hakem çağrıları token kullanımına sayılıyor — gizli maliyet yok ama token yakıyor. Okuma işlemleri ve çalışma dizini içi düzenlemeler hakemi hiç görmüyor; maliyet asıl shell komutları ve ağ işlemlerinden geliyor.

K7

Hakemin güven haritası: neresi "içerisi", neresi "dışarısı"

Sınıflandırıcı yalnız çalışma dizinini ve oturum başlarken tanımlı olan git remote'larını güvenilir sayar. Oturum sırasında git remote add / git remote set-url ile eklenen veya değiştirilen bir remote güvenilir SAYILMAZ. Hakem kullanıcı mesajlarını, araç çağrılarını ve CLAUDE.md içeriğini görür — ama araç SONUÇLARINI (dosya içeriği, web sayfası) görmez; bunun yerine ayrı bir sunucu-taraflı gözetleyici gelen sonuçları tarayıp şüpheli içeriği işaretler. Bu tasarım, kötü niyetli bir dosyanın/web sayfasının hakemi doğrudan manipüle etmesini engellemek için.

K9

"Bunu yapmadan önce mutlaka sor": permissions.ask

İçerik-kapsamlı bir ask kuralı hakemden ÖNCE değerlendirilir ve Auto Mode'da bile HER ZAMAN sorar — hakem bu kuralı asla kendiliğinden onaylayamaz:

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

Auto Mode zaten çalıştığınız reponun her dalına (ana dal dahil) otomatik push'a ve PR açmaya izin veriyor — bunu istemiyorsanız yukarıdaki kural sizin kırmızı çizginiz. permissions.deny ise bir kademe daha sert: hakeme hiç sorulmadan, kullanıcı niyeti de geçersiz kılamadan engeller.

K10

Dar izin kurallarından sızmayı kapatın:autoMode.classifyAllShell

Varsayılan davranış: Bash(npm test) gibi dar allow kuralları Auto Mode'a taşınır ve hakeme hiç gitmeden geçer. Sadece Bash(*) gibi geniş / joker karakterli kurallar askıya alınır. Sorun: dar görünen bir kural, öngörülmeyen bir bayrak veya argümanla tehlikeli bir komutu hakem görmeden geçirebilir.

{ "autoMode": { "classifyAllShell": true } }

Açınca HER shell komutu hakemden geçer — dar kuralın onayladığı komut bile bir tık gecikir (her komut bir hakem çağrısı olur), ama sızma kapanır. v2.1.193 ve sonrası gerekli.

K11

Şirket çapında kapatma: disableAutoMode

Team ve Enterprise planlarında Auto Mode zaten varsayılan olarak açık. Organizasyonunuzun tamamı için kapatmak istiyorsanız, yönetici managed settings'e yazar:

{ "permissions": { "disableAutoMode": "disable" } }

Bu, Shift+Tab döngüsünden auto'yu tamamen çıkarır ve --permission-mode auto başlatmasını reddeder. Uyum gereksinimi olan ekiplerin ilk maddesi.

K12

Hakemin asla kendiliğinden geçirmediği eylemler

Tam liste uzun ve sürüm sürüm büyüyor; çekirdek olanlar — hepsi için her zaman onay isteniyor:

• curl | bash gibi indirip-doğrudan-çalıştırma
• Hassas veriyi dış uç noktalara göndermek
• Prod deploy ve migration'lar, bulut depoda toplu silme
• force push; git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop/clear
• Kendi oturumunuzda oluşturmadığınız veya zaten push'lanmış bir commit'i --amend ile değiştirmek
• terraform destroy, pulumi destroy, cdk destroy, terragrunt destroy
• Sır yöneticisine yazmak, DNS/TLS kaydı değiştirmek, onaysız PR birleştirmek, canlı bir credential'ı transkripte bastırmak

Bu liste v2.1.195, v2.1.198, v2.1.200 ve v2.1.203 sürümleriyle genişletildi (paylaşılan altyapıya yazma, prod özellik bayrağı değiştirme, hassas veri konumlarına erişim gibi kategoriler eklendi) — sabit bir kara liste değil, gelişen bir güvenlik katmanı olarak düşünün.

K14

Kendi kurulumunuzu kendi CLI'ınızda denetleyin

$ claude auto-mode defaults
# Anthropic'in yerleşik environment/allow/soft_deny/hard_deny listeleri
$ claude auto-mode config
# hakemin ŞU AN gerçekten kullandığı, senin ayarlarınla birleşmiş liste
$ claude auto-mode critique
# kendi allow/soft_deny/hard_deny kurallarını eleştirtir
$ claude auto-mode reset
# kullanıcı ayarlarındaki autoMode bloğunu siler, varsayılana döner (v2.1.212+)

14 Ağustos öncesi tek oturumluk iş: config ile etkin kuralları görün, critique ile kendi eklediğiniz kuralları eleştirtip belirsiz/riskli olanları düzeltin.

K15

Alt-ajanlar sınıflandırıcının dışında değil: 3 kontrol noktası

Bir subagent başlattığınızda hakem üç noktada devreye giriyor: (1) görev başında — verilen görev tanımı riskli görünüyorsa alt-ajan hiç başlamadan bloke edilir; (2) çalışırken — alt-ajanın her eylemi, ana oturumla AYNI kurallarla hakemden geçer (alt-ajanın kendi frontmatter'ındaki permissionMode yok sayılır); (3) bittiğinde — hakem alt-ajanın tüm eylem geçmişini tekrar gözden geçirir, bir sorun görürse sonuçların başına bir güvenlik uyarısı ekler. Yani "bir alt-ajan gizlice zararlı iş yapar mı" sorusunun cevabı: hayır, kapsam dışı bırakılmıyor.

Dürüstlük sınırı

Resmî uyarı aynen şöyle: "Auto mode reduces permission prompts but does not guarantee safety." Auto Mode ile bypassPermissions aynı şey değil — ilki hakemden geçirir, ikincisi HİÇBİR kontrol yapmaz ve "prompt injection'a karşı hiçbir koruma sağlamaz" diye açıkça uyarılıyor. %89/%97/%13,6 rakamları Anthropic'in kendi test metodolojisi (1.053 ücretli test kullanıcısı) — bağımsız denetim yok, mutlak güvenlik vaadi değil.

60 saniyelik kontrol listesi

• claude auto-mode config çalıştırıp etkin kuralları gördünüz mü?
• ~/.claude/settings.json'da permissions.defaultMode sizin kararınızı yansıtıyor mu (K3)?
• Push öncesi onay istiyorsanız permissions.ask kuralınız var mı (K9)?
• Kendi sunucunuz/org'unuz autoMode.environment'ta "$defaults" ile birlikte tanımlı mı (K8)?
• Ekip için kapatmanız gerekiyorsa disableAutoMode managed settings'te mi (K11)?

Hepsi ✓ ise 14 Ağustos'u kendi şartlarınızla karşılıyorsunuz demektir.