Авторежим Claude обходит настройку «Всегда спрашивать»

Автор блога Baldassari в посте от 20 октября рассказал, что в автоматическом режиме Claude читал его почту через коннектор Fastmail. При этом у всех действий коннектора стояло «Всегда спрашивать разрешение». В Anthropic ему ответили, что это ожидаемое поведение, а не баг.

Всё выяснилось случайно. Ему пришло письмо от подрядчика со ссылкой на незнакомую платформу, и он спросил Claude, что это за сервис. Ответ закончился выводом, что «поставщик услуг, который написал вам сегодня в 13:59, скорее всего, ведёт проекты в [platform]». Автор полез в настройки и убедился, что доступ к Fastmail там закрыт подтверждением.

Он сообщил об этом в Anthropic как о серьёзном баге и быстро получил ответ: так задумано. Исключение описано одной строкой во всплывающей подсказке у значка «Needs Approval»: «Claude спрашивает перед каждым использованием, кроме сессий с режимом „Автоматически одобрять“». Настройка с названием «Всегда спрашивать» в таких сессиях не спрашивает.

В авторежиме подтверждения раздаёт не человек, а классификатор на основе модели. Устройство режима Anthropic подробно описала в инженерном посте на примере Claude Code. Перед каждым вызовом инструмента классификатор ищет признаки разрушительных действий, утечки чувствительных данных или вредоносного кода. Безопасное выполняется само, а рискованное блокируется, и Claude получает указание сменить курс. Классификатор работает на Sonnet 4.6 и видит только сообщения пользователя и вызовы инструментов, а собственные ответы Claude и результаты инструментов из его входа убраны. Результаты отдельно проверяет серверный детектор промпт-инъекций, то есть команд, спрятанных в данных: он помечает предупреждением всё, что похоже на попытку перехватить управление агентом.

Режим появился из-за усталости от подтверждений: по словам Anthropic, на практике пользователи одобряют 93% запросов.

Автора беспокоит именно надёжность классификатора. Почта даже в режиме чтения - чувствительные данные, а здесь сходятся три условия, при которых агент становится опасен: доступ к личным данным, недоверенный контент и возможность отправить что-то наружу. Атакующий может составить письмо, которое заставит Claude достать из ящика код двухфакторной аутентификации и отправить его на какой-нибудь сайт. Автор допускает, что авторежим заблокирует многие такие попытки, но доверять ему это не готов. Anthropic и сама оговаривает, что классификатор может пропустить рискованное действие, например если намерение пользователя неоднозначно или Claude не хватает контекста об окружении.

Автор хочет, чтобы «Всегда спрашивать» действительно всегда спрашивало, или чтобы появился четвёртый вариант: «Всегда спрашивать, кроме авторежима». Пока его нет, коннектор Fastmail из Claude он удалил.