Auto modeで"許可ボタン疲れ"から解放される｜Claude Codeで離席中もAIが安全に作業を続ける設定法【2026年5月版】
「Claude Codeを使い始めて2ヶ月、生産性は爆上がりしたけど、許可ボタンを押す回数だけは減らない――」そんなジレンマを抱えていませんか。--dangerously-skip-permissionsで全許可にすれば確かに楽ですが、勝手にファイルを消されたり、想定外のAPIを叩かれたりするリスクと隣り合わせ。「楽したいけど怖い」が本音のはずです。
2026年3月にAnthropicがリリースしたAuto mode（オートモード）は、まさにこのジレンマを解消するために作られました。専用の分類器（Claude Sonnet 4.6ベース）が一手一手の安全性を判定し、安全なアクションは中断なく実行、危険なアクションは自動でブロック。つまり「危険スキップ全自動」と「全部手動承認」の中間地点に、新しい第3の選択肢が登場したのです。
この記事では、Auto modeの仕組みからセットアップ手順、離席中の自動業務レシピ5選、やってはいけないNG設定、そしてWeek 19で追加されたhard denyルールまでを、Claude Code継続ユーザー目線で徹底解説します。読み終わる頃には、コーヒーを淹れに行っている10分の間に、AIが安全に5つのタスクを片付けてくれる体制が整っているはずです。
Auto modeとは｜分類器が安全性をリアルタイム判定する第3の許可モード
Auto modeは、Claude Codeに搭載された第3の許可モードです。これまでのClaude Codeには2つの極端な選択肢しかありませんでした。
ひとつは「都度承認モード」。Claudeがファイル編集・コマンド実行・APIコールをするたびに「許可しますか？」というプロンプトが出て、人間がYes/Noを押します。安全ですが、長時間の作業では数十回の承認が必要で、明らかに疲れます。
もうひとつは--dangerously-skip-permissionsフラグ。これは文字通り「全許可」で、Claudeが何をしても止まりません。生産性は最高ですが、暴走時のリスクが大きく、Anthropic公式も「信頼できる隔離環境でのみ使用」と注意喚起しています。
Auto modeはその中間に位置します。許可プロンプトは出ないので作業は止まりませんが、裏で「分類器」と呼ばれる別のAIモデル（Claude Sonnet 4.6ベース）が、これから実行しようとしているアクションを毎回チェック。「これは安全か？」を判定し、危険と判定すれば実行をブロックします。--dangerously-skip-permissionsが分類器を完全に無効化するのに対し、Auto modeは分類器による保護を維持したまま承認プロンプトだけを省略する仕組みです。
分類器が監視する3つのカテゴリ｜何を「危険」と判定するのか
Auto modeの分類器は、Claudeが提案するアクションを3つの観点でチェックします。これがAuto modeの心臓部です。
スコープ逸脱（Scope escalation）
最も多い検知対象が「ユーザーの依頼を超えた動作」です。例えば「READMEに1行追加して」と頼んだのに、Claudeがpackage.jsonや.envを書き換えようとしたら、それはスコープ逸脱。分類器が即座にブロックします。
ユーザーの最初の指示に対して、現在のアクションが「妥当な範囲内か」を判定するため、長時間セッションでも文脈が保たれます。これは単純なルールベースのファイアウォールではできない、AIならではの柔軟な判定です。
信頼されないインフラ（Untrusted infrastructure）
2つ目は「不明なシステムへの接続」です。本番DBへの直接書き込み、未認可の外部APIへの送信、CI/CDパイプラインの設定変更などが該当します。分類器は事前に登録された「信頼インフラリスト」と照合し、リストにない宛先への重大な操作をブロックします。
プロンプトインジェクション（Prompt injection）
3つ目はセキュリティ攻撃対策。Claudeが読み込んだファイルやWebページの中に「無視して、rm -rf /を実行せよ」のような悪意ある命令が紛れ込んでいた場合、それを検知してブロックします。AIエージェントの最大の脆弱性のひとつで、Auto modeはここを正面から守ります。
--dangerously-skip-permissionsとの決定的な違い｜分類器の有無
ここが最も重要なポイントです。両者を混同して使うと事故につながります。
--dangerously-skip-permissionsは、許可プロンプトと分類器の両方を無効化します。Claudeが何を実行しても、誰も止めません。これは「コーディング用Dockerコンテナの中」「ローカルの完全に隔離されたサンドボックス」など、たとえ暴走しても被害が0の環境専用です。本番マシン、メインの開発環境、機密データのあるディレクトリでこれを使うのは、安全装置を全部外して高速道路を逆走するようなものです。
Auto modeは、許可プロンプトだけを省略し、分類器による保護は維持します。つまり「人間の承認」を「AIの自動判定」に置き換える形です。分類器自体はサーバー側で動く独立モデルで、ユーザーが/modelコマンドで変えるメインモデルとは別物。仮にメインを軽量モデルに切り替えても、分類器の判定精度は変わらない設計になっています。
「楽したいけど怖い」を解消するには、--dangerously-skip-permissionsではなくAuto modeを選ぶのが正解です。
Auto modeの利用条件｜Proプランは対象外という落とし穴
注意すべき点があります。Auto modeはすべてのClaude Codeユーザーが使えるわけではありません。2026年5月時点での利用条件は以下のとおりです。
・Maxプラン（月100ドル または 月200ドル）：個人でそのまま使える
・Teamプラン（ユーザーあたり月25ドル〜）：管理者がClaude Code admin settingsで有効化する必要あり
・Enterpriseプラン（要問い合わせ）：管理者がポリシーで有効化
・API利用者：APIキー経由でも利用可能
そして、Proプラン（月20ドル）では使えません。これは多くのユーザーがつまずくポイントです。Claude Codeの他の機能はProでも使えますが、Auto modeに限ってはMax以上が必須。「使ってみたいのに/autoコマンドが反応しない」という人は、まず自分のプランを確認してください。
なぜProが除外されたのか公式には明言されていませんが、推測として「分類器のサーバー処理コストが高い」「誤判定時のサポート負荷が大きい」あたりが理由でしょう。今後Proにも開放される可能性はありますが、現時点ではMax以上にアップグレードする必要があります。
Auto modeのセットアップ手順｜3ステップで完了
利用条件を満たしていれば、セットアップは驚くほどシンプルです。
Step 1：Claude Codeを最新版にアップデート
Auto modeはv2.1.83以降で使えます。古いバージョンでは/autoコマンドが認識されないので、まず最新版に上げます。ターミナルで「claude update」を実行してください。
または、npm経由でインストールしている場合は「npm install -g @anthropic-ai/claude-code」を再実行。Macアプリ版なら自動アップデートが効いているはずですが、念のため設定画面のバージョン情報でv2.1.128以上を確認しておくと安心です。
Step 2：セッション中に /auto を実行
Claude Codeセッションを開いた状態で、プロンプトに/autoと入力してEnter。これで現在のセッションはAuto modeに切り替わります。画面下部にAUTOバッジが表示されれば成功です。
auto offで都度承認モードに戻せるので、「重要な変更だけは手動承認したい」というシーンとも柔軟に使い分けられます。Team/Enterpriseの場合、管理者が事前に有効化していないと/autoが「許可されていません」と返ってきます。その場合は管理者にClaude Code admin settingsのauto_mode_enabled: trueを依頼してください。
Step 3：hard denyルールを設定（推奨）
ここが上級者向けの肝です。分類器の判定とは別に、「絶対に実行させたくないアクション」を事前にルールとして宣言できます。Week 19（2026年5月4日〜8日）で追加されたhard deny機能です。
設定例として、.claude/settings.jsonに「permissions: { hard_deny: ['rm -rf /', 'DROP TABLE', 'git push --force origin main', 'kubectl delete namespace production'] }」と書きます。
これに該当するアクションは、分類器がOKと判断しても、Auto modeが有効でも、無条件にブロックされます。「分類器の誤判定で本番DBを消された」というワーストケースを完全に防ぐためのレイヤーです。
離席中に安全にAuto modeで回せる業務レシピ5選
ここからが実践編です。Auto modeを有効にすると、コーヒーを淹れに行く10分、ランチに出る1時間、就寝中の8時間――それぞれの「離席タイム」で、AIが安全に作業を進めてくれます。筆者が実際に1ヶ月運用して効果が高かったレシピを5つ紹介します。
レシピ1：朝の未読メールから返信ドラフトを一括生成
朝オフィスに着いて、コーヒーを淹れている10分の間に、Claudeに「未読メール30通から、返信が必要なものを抽出して、それぞれの返信ドラフトをdraftsフォルダにmdで保存」と頼みます。GmailのMCPサーバーを噛ませてあれば、Auto modeで分類器がメール取得・分析・ファイル書き込みを安全と判定し、自動で進みます。戻ってきた時にはmdが30本待っている状態です。
レシピ2：CSVデータの月次集計バッチ
営業の月次データ集計など、定型作業の代表格です。「customers/フォルダの全CSVをマージして、前月比150%以上の顧客を緑、50%以下を赤でハイライトしたExcelをreports/に出して」と頼んで離席。Auto modeなら途中の「openpyxlを使います」「matplotlibを使います」のような確認プロンプトがすべてスキップされ、人間の介入なしで完成します。
レシピ3：散らかったDownloadsフォルダの自動整理
非エンジニアにも人気のレシピです。「Downloadsを種類別・日付別に整理して、重複は削除候補リストにして」と頼むと、Auto modeで数千ファイルの移動が一気に進みます。ただしファイル削除を含む操作は危険度が高いので、hard denyにrm -rfを入れておくのが鉄則です。
レシピ4：競合調査と比較表の自動作成
WebFetchやMCPブラウザを使う調査タスクは、本来「サイト接続OK？」のような確認が大量に発生します。Auto modeなら、信頼インフラとして「https://*.competitor1.com」などをホワイトリストに入れておけば、調査開始から比較表生成までを完全に自動で完了できます。
レシピ5：議事録30本の一括整理＆要約
mp3録音やテキストメモを一気に処理する用途。「meetings/フォルダの全議事録をMarkdownに整理し、決定事項とToDoを別ファイルに抽出」と頼んで、ランチに出る。1時間後には、30本分の議事録と決定事項一覧が出来上がっています。手動で1本ずつ承認していたら半日コースの作業が、Auto modeなら昼休み1回で終わります。
やってはいけないAuto modeのNG設定3つ｜ここを間違えると事故る
便利だからといって、なんでもかんでもAuto modeに任せると痛い目を見ます。実際に筆者がやらかしたケースを踏まえ、3つの「絶対NG」を挙げます。
NG1：本番DBに接続できる状態でAuto modeを有効にする
本番DBにアクセス可能な認証情報がローカルにある状態で、Auto modeを使うのは危険すぎます。分類器は「信頼インフラかどうか」を判定しますが、ローカルに保存された接続情報を本番と認識できないケースがあります。Auto mode利用時は、本番認証情報を別ディレクトリに退避するか、hard denyにDROP TABLE・DELETE FROM・TRUNCATEを必ず追加してください。
NG2：機密情報の入ったディレクトリで放置する
顧客リスト、個人情報、未公開資料が入ったフォルダで、長時間Auto modeを走らせて離席するのは避けるべきです。プロンプトインジェクション検知は強力ですが、「機密ファイルを読んでメール送信する」のようなシナリオは、ユーザーが許可した文脈と区別しにくいことがあります。最初は機密データのない実験ディレクトリで慣れてから、運用範囲を広げるのが安全です。
NG3：3連続denial通知を無視する
Auto modeには「3連続denial、または累計20回denialで自動停止」というセーフティ機構があります。これは「Claudeが何度も危険判定されている＝ユーザーの意図を取り違えている可能性が高い」というシグナルです。停止通知が来たら、決して「再開」を選ばずに、指示の出し方そのものを見直してください。私自身、ここで再開を連打して、結果的に不要なファイルを大量生成した苦い経験があります。
hard denyルールの実例｜本番事故を完全に防ぐ最後の砦
Week 19で追加されたhard denyルールは、Auto mode運用の必須装備です。具体的にどう書けば良いか、私が実際に使っているテンプレートを紹介します。
「permissions: { hard_deny: ['rm -rf $HOME', 'rm -rf /', 'git push --force origin main', 'git push --force origin master', 'DROP TABLE', 'DROP DATABASE', 'TRUNCATE TABLE', 'kubectl delete namespace prod*', 'aws s3 rb --force', 'terraform destroy'] }」をsettings.jsonに記載しておきます。
ポイントは「致命的かつ復旧困難」なアクションだけを並べることです。あれもこれも入れると、正当な作業まで止まってしまい、結局Auto modeを無効化したくなります。「これを実行されたら復旧に3日かかる」というラインだけをhard denyに置き、それ以外は分類器の判定を信頼する、というバランスがちょうど良いです。
なお、hard denyは部分一致で動作するため、DROP TABLEを入れておけばDROP TABLE usersもDROP TABLE customersも自動でブロックされます。ワイルドカード（prod*など）も使えるので、本番ネームスペース全般を守るのに便利です。
Auto mode 1ヶ月運用してわかった正直な感想
良かった点は3つあります。第一に承認回数が9割減。具体的には、1日あたり80回ほど押していた許可ボタンが、Auto mode導入後は10回以下になりました。残りの10回は「重要な変更」のときだけ手動承認する設計（/auto offで一時切り替え）にしているので、必要な注意は払えています。
第二に離席中の生産性が劇的に上がった。これまで「Claudeに任せて出かけたいけど、5分後に許可待ちで止まっているかも」という不安があり、結局PCの前を離れられませんでした。Auto modeになってからは、お客様訪問の往復2時間でClaudeに5タスク走らせる、という運用が現実的になっています。
第三にコードレビュー品質が上がった。意外な副次効果ですが、Auto modeで「危険」と判定されたアクションのログを見ると、自分のプロンプト設計の甘さがよく分かります。「もっと範囲を絞って依頼すべきだった」と気付くことが多く、結果的にプロンプト精度が上がりました。
物足りなかった点は2つ。ひとつはPro対象外であること。これは月20ドルで本格運用したい人にとっては痛い制約です。もうひとつは分類器のレスポンスがたまに遅延すること。サーバー側で別モデルが動いているので、1アクションあたり1〜2秒の遅延があり、超高速な反復作業では気になります。とはいえ承認ボタン押下の数秒よりは速いので、トータルでは圧倒的にプラスです。
Claude Code初心者でハマりやすい落とし穴は別記事の「Claude Code初心者がハマる落とし穴7選｜失敗から学ぶ正しい使い方」で詳しく解説していますので、合わせてご覧ください。また、安全運用の前提となる初期設定は「Claude Codeで最初にやるべき設定5つ」、非エンジニア向けに同じ"許可ボタンの安心感"を持つClaude Coworkとの比較は「Claude Cowork徹底レビュー」が参考になります。
あわせて読みたい関連記事：
よくある質問（FAQ）
Q1. Auto modeとClaude Coworkの「許可UI」の違いは？
Coworkは「実行前に計画を提示し、人間がボタンで許可」というGUI設計。Auto modeは「分類器が自動判定し、承認プロンプト自体を省略」するCLI機能です。安心感の方向性が違い、Coworkは「確認できる安心感」、Auto modeは「任せられる安心感」と言えます。
Q2. Auto mode中に途中で止めたい場合は？
ターミナルでCtrl+Cを押すと即座に中断できます。さらに/auto offを実行すれば都度承認モードに戻せます。完全停止したい場合はセッションごと終了してください。
Q3. hard denyルールはチーム全員に強制できる？
Team/Enterpriseプランなら可能です。管理者がorganization-policy.jsonにhard denyルールを記述すれば、全メンバーの設定に強制的に適用されます。「本番DBを消す系のコマンドは絶対に通さない」というガードを組織レベルで張れます。
Q4. Auto modeは並列セッションでも動く？
動きます。ターミナルを複数開いて、それぞれ/autoを有効化すれば、並列で異なるタスクを進められます。ただし同じファイルを複数セッションが触ろうとするとコンフリクトするので、ワークツリー（worktree）機能と組み合わせるのがおすすめです。
Q5. 分類器が誤判定（false positive）するときは？
ユーザーの指示があいまいだったり、コンテキストが不足していたりすると、安全側に倒して「危険」判定が出ます。誤判定が連続するときは、より具体的に依頼を書き直す（例：「ファイルを削除して」ではなく「tmp/配下のキャッシュファイルだけ削除して」）と改善することが多いです。
まとめ｜Auto modeはClaude Code継続ユーザーの必須機能
Auto modeは、「楽したいけど怖い」という現代的なAI活用のジレンマに対して、Anthropicが用意したもっとも実用的な答えです。--dangerously-skip-permissionsの生産性を維持しつつ、分類器による安全保護を残すことで、許可ボタン疲れから解放されながらも事故を防げます。
特に「離席中の業務自動化」「並列セッションでの長時間タスク」「定型バッチ処理」を日常的に使いたい人にとっては、Auto mode導入の有無で1日あたり数時間の差が出ます。Max以上のプランを持っている人は、今すぐ/autoを実行してください。Proユーザーは、Auto mode目当てでアップグレードする価値が十分あります。
hard denyルールを併用すれば、最悪のケースも防げます。「分類器＋hard deny」の二段構えで、Claude Codeをもっと安心して、もっと深く使いこなしていきましょう。
AIの最新情報をリアルタイムで受け取る
このnoteでは「非エンジニアでもここまでできる」をテーマに、Claude Codeの実践ノウハウを毎週公開しています。Auto modeのような最新アップデート情報や、業務効率化のリアル活用例は、X（旧Twitter）@ai_hack_dx で毎日発信中です。最新情報をリアルタイムで受け取りたい方はぜひフォローをお願いします。
