Claude Code Auto Mode Varsayılan Oluyor: İzin Yorgunluğuna Çözüm mü, Yeni Risk mi?

Kısa özet: Anthropic, Claude Code’daki auto mode seçeneğini 14 Ağustos 2026’dan itibaren Pro, Max ve Team planlarındaki yeni oturumlarda varsayılan yapacak. Bu mod, her araç çağrısını ayrı bir sınıflandırıcıyla inceleyip geri döndürülemez, yıkıcı veya güvenilen ortamın dışına veri taşıyan işlemleri durdurmayı amaçlıyor. Şirketin 1.053 ücretli katılımcıyla yaptığı kontrollü testte insanlar tehlikeli komutların yüzde 13,6’sını, auto mode ise yüzde 89’unu engelledi. Yine de bu “tam otomatik ve risksiz” anlamına gelmiyor: adversarial testlerde sınıflandırıcının kaçırma oranı yüzde 7’ye kadar çıktı ve yüksek etkili üretim değişikliklerinde insan denetimi hâlâ gerekiyor.

Yenilik ne, kimler etkilenecek?

Claude Code normalde dosya düzenleme, kabuk komutu çalıştırma veya ağ isteği gibi eylemlerde izin sorabilir. Auto mode bu sık duraklamaların yerine ikinci bir güvenlik kapısı koyuyor. Sınıflandırıcı, aracın yapmak istediği işlemle kullanıcının amacı ve tanımlı güven sınırını karşılaştırıyor. İşlem riskliyse reddediyor; Claude daha dar bir yol arıyor veya kullanıcıdan açık onay istiyor. Üç ardışık ya da bir oturumda toplam 20 engelden sonra sistem manuel izinlere dönüyor.

14 Ağustos’taki varsayılan değişiklik Pro, Max ve Team planlarını kapsıyor. Daha önce farklı bir varsayılan seçen kullanıcıya bir defalık geçiş sorusu gösterilebilir; sabitlenmiş kişisel veya yönetilen kurum ayarı değişmeyecek. Enterprise, Anthropic API, Amazon Bedrock, Google Cloud Agent Platform ve Microsoft Foundry tarafında auto mode şimdilik isteğe bağlı. Anthropic, bu ortamlarda değişikliği sonraki ay planladığını söylüyor. Pro, Max ve Team kullanıcılarından sınıflandırıcının ek belirteç yükü için artık ücret alınmıyor; diğer erişim yollarında plan ve sağlayıcı koşullarını ayrıca kontrol etmek gerekiyor.

Nasıl çalışıyor?

Auto mode bir işletim sistemi sandbox’ının yerine geçen tek parça değildir. Önce Claude Code’un açık permissions.deny ve içerik kapsamlı permissions.ask kuralları çalışır; ardından sınıflandırıcı kalan araç çağrısını değerlendirir. Çalışma dizini ve mevcut deponun yapılandırılmış uzak adresleri varsayılan güven sınırını oluşturur. Kurumun özel GitHub organizasyonu, paket deposu, bulut kovası veya iç API’si açıkça tanımlanmamışsa bunlar dış hedef sayılıp rutin işlem bile engellenebilir.

Sistem, dış kaynaktan gelen araç sonuçlarını prompt injection işaretleri için tarıyor; Git durumunu yıkıcı işlemlerden önce bağlama ekliyor ve gizli ya da kuruma ait verinin hedefini değerlendiriyor. Ancak sınıflandırıcı da bir modeldir. Yanlış güven kararı verebilir, kötü niyetli bir paketin dolaylı davranışını gözden kaçırabilir veya meşru işi engelleyebilir. Ağ çıkışını, dosya kapsamını, kimlik bilgisi yetkisini ve üretim hesabını ayrıca sınırlandırmak bu yüzden önemini koruyor.

Güvenlik verileri ne söylüyor?

Anthropic’in kontrollü çalışmasında 1.053 profesyonel katılımcı, hangi davranışın ölçüldüğünü bilmeden bir kodlama oturumu yürüttü. Bir izin isteminin metni açıkça tehlikeli bir komutla değiştirildi; komut gerçekten çalıştırılmadı. İnsanlar 143 tehlikeli istemi reddetti; aynı örneklerde auto mode 937 engel üretti. İnsanların yakalama oranı uzun oturumlarda yaklaşık yüzde 17’den yüzde 5’e gerilerken sınıflandırıcının oranı sabit kaldı. Sonuç, “onay yorgunluğu” sorununu güçlü biçimde gösteriyor fakat gerçek projedeki tüm saldırı ve hata türlerini temsil etmiyor.

Mayıs–Haziran 2026 üretim kayıtlarında, yalnız veri analizine izin vermiş hesaplardan güvenlik sistemi tarafından işaretlenen oturumlar incelendi. Şirketin yeniden derecelendirmesine göre ciddi ve açıkça istenmemiş zarar, manuel onaylı oturumların yüzde 6,3’ünde; auto mode oturumlarının yüzde 2,4’ünde görüldü. Bu örnek, rastgele seçilmiş bütün oturumlar değil, önceden işaretlenmiş bir alt küme olduğundan genel hata oranı olarak okunmamalı.

Apollo Research ile yapılan sentetik saldırı çalışmasında sertleştirme sonrasında sınıflandırıcının kaçırma oranı yüzde 12’den yüzde 7’ye düştü. Trajectory Labs’in 72 dolaylı prompt injection senaryosunu onar kez tekrarladığı, Anthropic tarafından sipariş edilen ayrı değerlendirmede Claude Fable 5, Opus 5 ve Sonnet 5’in auto mode koşullarında 720 saldırının hiçbiri başarılı olmadı. Test, 17 Temmuz’daki istemci ve model sürümlerini, ortak bir tarayıcı entegrasyonunu kullandı; ürünlerin tüm güncel korumalarını veya bütün gerçek dünya saldırılarını ölçmüyor. Bağımsız analist Simon Willison da yüzde 11’lik kontrollü-test açığını ve kötü niyetli paket gibi dolaylı yolları hatırlatarak daha fazla bağımsız doğrulama çağrısı yapıyor.

Kimler için önemli?

Değişiklik, uzun test ve yeniden düzenleme görevlerini ajanlara bırakan geliştiriciler için doğrudan önemli. Sürekli “izin ver” tıklamak yerine geri döndürülemez işlemlerde yoğunlaşmak verimi artırabilir. Anthropic, Team ve Enterprise kullanan gruplarda auto mode ile yaklaşık yüzde 25 daha fazla pull request üretildiğini bildiriyor; bu şirket ölçümüdür, kod kalitesi veya net iş değeri kanıtı değildir.

Güvenlik ekipleri açısından asıl fırsat, izin kararını her geliştiricinin dikkatine bırakmak yerine yönetilen kurallarla ortaklaştırmak. Küçük ve hassas depolarda, sağlık veya finans verisinde, üretim altyapısında ve geniş bulut yetkilerinde ise auto mode tek başına yeterli kontrol değildir. Salt okunur kimlik bilgisi, kısa ömürlü belirteç, ağ izin listesi, sandbox, korumalı dal ve dağıtım öncesi insan kontrolü birlikte kullanılmalıdır.

Gerçek kullanım senaryosu: gece çalışan bakım ajanı

Bir ekip, erişilebilirlik testlerindeki kırık etiketleri gece boyunca düzelten bir Claude Code görevi çalıştırabilir. Ajan testleri okur, yerel dosyaları düzenler ve yeni bir dalda değişiklik hazırlar. Güven sınırı yalnız ilgili depo, kurumun paket kayıt sistemi ve test alan adını kapsar. Üretime dağıtım, varsayılan dala itme ve pull request açma işlemleri ise açık ask kurallarıyla sabaha kadar bekler.

Bu düzen, ajanı “tam yetkili geliştirici” yapmaz. Test hesabı üretim verisine erişmemeli; CI gizlileri doğrudan oturuma aktarılmamalı; taranan issue, README ve web sayfaları güvenilmeyen girdi kabul edilmelidir. Sabah insan, git diff, test raporu, bağımlılık değişikliği ve ağ günlüklerini inceler. Auto mode’un değeri rutin yerel adımları kesintisiz yürütmek, karar yetkisini ortadan kaldırmak değil.

Kurulum ve arayüz adımları

Önce istemci sürümünü kontrol edin. 9 Ağustos’taki yerel denetimde Claude Code 2.1.121 üzerinde auto-mode inceleme komutları çalıştı; npm kayıtlarında en güncel paket 2.1.226, kararlı etiket 2.1.220 görünüyordu. Özellikle Bedrock, Google Cloud, Foundry veya Claude Apps Gateway kullanıyorsanız resmî belge 2.1.207’den önce ek ortam değişkeni gerektiğini belirtiyor. Bu denetimde paket güncellenmedi, model çağrılmadı ve kullanıcı ayarı değiştirilmedi.

claude --version
claude auto-mode defaults
claude auto-mode config

1. CLI’da Shift+Tab ile izin modları arasında geçin; masaüstünde mod açılır menüsünü kullanın.
2. Etkili varsayılanları claude auto-mode defaults, kendi birleşik ayarınızı claude auto-mode config ile inceleyin.
3. Kişisel güvenilen altyapıyı ~/.claude/settings.json içindeki autoMode.environment alanına yazın. Depo içindeki .claude/settings*.json dosyalarından auto mode güven kuralı okunmaması, kötü niyetli deponun kendi yetkisini genişletmesini önleyen bilinçli bir sınırdır.
4. Her push ve pull request öncesi insan kontrolü istiyorsanız permissions.ask ekleyin; asla çalışmaması gereken eylemlerde yönetilen permissions.deny kullanın.

{
  "permissions": {
    "ask": ["Bash(git push *)", "Bash(gh pr create *)"]
  },
  "autoMode": {
    "environment": [
      "$defaults",
      "Trusted source control: github.example.com/ekibim"
    ]
  }
}

Gizlilik, maliyet ve erişilebilirlik

Claude Code yerelde çalışsa da istemler, model çıktıları ve görev için gereken içerik model sağlayıcısına ağ üzerinden gider. Pro ve Max kullanıcıları veri kullanım ayarını açtıysa Claude Code verileri gelecekteki model eğitiminde kullanılabilir; kapalıysa resmî saklama süresi 30 gündür. Team, Enterprise ve API gibi ticari kullanımlarda Anthropic, müşteri ayrıca katılmadıkça kod ve istemlerle üretken model eğitmediğini söylüyor. Yerel oturum dökümleri varsayılan olarak ~/.claude/projects/ altında düz metin saklanır; cihaz güvenliği ve temizleme süresi ayrıca yönetilmelidir.

Sınıflandırıcının Pro, Max ve Team planlarındaki ek belirteç maliyeti kaldırıldı, ancak ana model kullanımı ve plan sınırları devam ediyor. Uzun kesintisiz görev daha fazla belirteç, test süresi ve bulut işlemi tüketebilir. Erişilebilirlik bakımından CLI tamamen klavyeyle yönetilebilir ve masaüstü uygulamasında görünür mod seçici vardır. Buna karşılık risk kararının yalnız renk veya küçük simgeyle gösterilmemesi, engel nedeninin düz metin sunulması ve uzun günlüklerin ekran okuyucu için özetlenmesi gerekir. Resmî duyuru bu ayrıntılar için kapsamlı bir erişilebilirlik değerlendirmesi yayımlamıyor.

Sınırlamalar ve karar

• Yüzde 89 engelleme oranı yüzde 100 değildir; kontrollü deneyde auto mode tehlikeli örneklerin yüzde 11’ini kaçırdı.
• 720 saldırılık sonuç güçlü bir sinyal olsa da çalışma Anthropic tarafından sipariş edildi ve sınırlı senaryo, sürüm ve tarayıcı aracını ölçtü.
• Yanlış engeller iş akışını durdurabilir; güvenilen altyapıyı fazla geniş tanımlamak ise veri sızıntısı yüzeyini büyütür.
• Auto mode; sandbox, en az ayrıcalık, ağ çıkış denetimi, bağımlılık güvenliği, yedek ve insan kod incelemesinin yerine geçmez.
• Varsayılan değişiklik bütün hesap ve sağlayıcılara aynı gün gelmiyor; plan, kurum politikası, model ve istemci sürümü uygun olmalıdır.

Sonuç olarak auto mode, insanların onlarca benzer izni düşünmeden onaylaması sorununa makul bir teknik yanıt. En güvenli kullanım, sınıflandırıcıyı görünmez bir “tam yetki” düğmesi değil, açık deny/ask kuralları ile altyapı izolasyonunun arasında ek bir savunma katmanı saymak. 14 Ağustos’tan önce ekiplerin varsayılan modu, güvenilen hedefleri, üretim kontrol noktalarını ve veri kullanım ayarlarını birlikte gözden geçirmesi gerekiyor.

Kaynaklar

• Anthropic duyurusu: Auto mode Pro, Max ve Team’de varsayılan oluyor — 7 Ağustos 2026
• Claude Code auto mode yapılandırma belgesi — güven sınırı, ask/deny kuralları ve sürüm notları
• Claude Code izin modları belgesi — CLI ve masaüstü arayüzü
• Claude Code güvenlik belgesi — sandbox, prompt injection ve en az ayrıcalık
• Claude Code veri kullanımı belgesi — eğitim tercihleri, saklama ve yerel kayıtlar
• npm güncel Claude Code paket kaydı — 9 Ağustos 2026’da kontrol edildi
• Simon Willison’ın bağımsız güvenlik değerlendirmesi — 8 Ağustos 2026

Doğrulama kapsamı: Resmî duyuru, yapılandırma, izin, güvenlik ve veri kullanımı belgeleri kanonik sayfalarda okundu. Yerel Claude Code 2.1.121’de yalnız sürüm ile auto-mode inceleme komutları doğrulandı; ayar değiştirilmedi, model çalıştırılmadı ve üretim erişimi verilmedi.