Claude finder oftere selv en vej frem og kører videre i stedet for at stoppe op og spørge om noget småt. Det har jeg selv lagt mærke til, når jeg arbejder i Claude Code.
Anthropic formulerer det selv sådan: når auto mode blokerer en handling, finder Claude et sikrere alternativ eller spørger brugeren direkte om lov. De to ting er forenelige, men de er ikke det samme. Deres sætning handler om, hvad der sker, efter klassifikatoren har stoppet noget, og den dækker også det tilfælde, hvor Claude selv standser og spørger.
Det, der er skiftet, er ikke, hvad Claude må. Det er, hvornår I beslutter det.
Kort fortalt. Det ene fører til det andet, når standarden skifter:
- I godkender langt sjældnere.
- Claude vælger selv en vej videre.
- Alt uden for grænsen sker ad en vej, I ikke selv har valgt.
- Kontrollen ligger i grænsen, og den skal skrives på forhånd.
Slået til som standard på nye sessioner: Pro, Max og Team siden den 14. august 2026. Stadig opt-in: Enterprise, Claude API, Claude Platform på AWS, Bedrock, Google Cloud Agent Platform (Vertex) og Microsoft Foundry, kontrolleret 2. september 2026.
Anthropic: auto mode bliver standard i Claude Code, 7. august 2026 →
Hvad der sker, når I godkender sjældnere
Auto mode sender Claudes værktøjskald gennem en klassifikator i stedet for at spørge jer. Klassifikatoren blokerer det, der er uigenkaldeligt, destruktivt eller uden for det miljø, Claude arbejder i. Bliver noget blokeret, finder Claude enten en anden vej eller beder om lov. Det er ikke frit spil: klassifikatoren arbejder inden for de rammer, jeres udviklere har sat. I skifter selv tilstand med Shift+Tab i terminalen eller i tilstandsmenuen i skrivebordsappen. En administrator kan låse defaultMode i managed settings eller slå funktionen helt fra med disableAutoMode.
Der er stadig et menneske i loopet. Det er bare flyttet. Før sad mennesket inde i kørslen og sagde ja eller nej undervejs. Nu sidder mennesket foran kørslen og skriver, hvad der overhovedet må ske i den.
Kai Zhou fra Nuro beskriver, hvad det gør ved en arbejdsdag: han har tre eller fire sessioner kørende i auto mode ad gangen og kigger til dem, når der er brug for det. Det er en anden rolle end den, der klikker godkend. Den første er at holde øje med flere spor. Den anden er at stå i ét.
To ting følger af det. I godkender langt sjældnere, og Claude vælger selv en vej videre, når den første er lukket.
Klikket havde mistet sin betydning længe før auto mode
Standarden er ny. Adfærden er det ikke. Anthropics egne tal for, hvordan folk allerede brugte Claude Code: 62 procent har brugt bypassPermissions eller lukket en dialog med "spørg ikke igen". 25 procent af de interaktive sessioner starter direkte i bypass. 49,5 procent har skrevet deres egne Bash-regler. 5 procent tillader en hvilken som helst shell-kommando. 43 procent har regler for fortolkere, for eksempel Bash(python:*).
Når godkendelsen bliver et klik, der gentager sig hundredvis af gange, holder den op med at være en beslutning. Det er også det, Anthropics egne målinger viser. I et kontrolleret forsøg med 1.053 farlige kommandoer stoppede mennesker 13,6 procent af dem, 143 af 1.053. Auto mode stoppede 89 procent, 937 af 1.053. Uenigheden går næsten kun én vej: auto mode stoppede 800 kommandoer, som mennesker havde godkendt, mens mennesker stoppede 6, som auto mode lod passere. Tallene er Anthropics egne, og de har selv offentliggjort dem den 7. august 2026.
Gennemsnittet skjuler kurven. Tidligt i en session stopper et menneske omkring 17 procent af de farlige kommandoer. Efter 50 prompts eller mere er tallet omkring 5 procent. Klassifikatorens andel er den samme i begge målepunkter.
Opmærksomhed er en ressource, der bliver brugt op i løbet af en session. Det er den samme mekanisme, der gør, at ingen læser en skill, bare fordi den er blevet scannet. Den anden halvdel af det problem skrev jeg om, da Anthropic begyndte at scanne skills.
Størrelsen af det, brugerne bliver spurgt om, betyder også noget. De godkender 97 procent af de enkelte tilladelsesdialoger og afviser 3 procent. Når Claude i stedet lægger en plan frem først, afviser de 39 procent af planerne. Folk læser en plan. En enkelt handling klikker de igennem. Det siger noget om, hvor et menneske faktisk gør nytte, og det er ikke ved handling nummer 84.
Deraf følger konsekvens tre: alt uden for grænsen sker ad en vej, I ikke selv har valgt.
Det, der ikke kan gøres om
Første klasse af handlinger er den, der ikke har en fortrydelsesknap. Nuro blokerer rekursive sletninger direkte i deres opsætning, så spørgsmålet aldrig når frem til et menneske, der skal vurdere det klokken halv fem. Samtidig lader de forskningsagenter køre natten igennem på deres kørselsevaluering, fordi der er et klart og målbart signal, en agent selv kan styre efter.
Det er den samme afgørelse to gange, med to forskellige svar, og forskellen er ikke, hvor vigtigt arbejdet er, men om resultatet kan rulles tilbage.
Anthropics egne feltdata fra rigtige sessioner i maj og juni 2026 peger i samme retning: skader i produktionsmiljøet, alvorlighedsgrad 7 og derover, optrådte i 6,3 procent af de manuelt godkendte sessioner mod 2,4 procent af sessionerne i auto mode. Manuel godkendelse er ikke sikkerhed i sig selv. Det føles bare sådan.
Klassen er ikke et udviklerproblem. Den holder også uden for udviklingsafdelingen: en kreditnota, der er udstedt, er udstedt. Der findes ingen knap, der tager den tilbage, kun en ny postering og en samtale med en kunde. Hvis en agent kan udstede den, hører den til her.
Det, der rammer noget i drift
Anden klasse er alt, der rører ved et system, mens nogen bruger det. Gusto holder produktionsinfrastruktur bag et menneske: Terraform, AWS og direkte POST-kald mod live API'er. Til gengæld lader de Claude arbejde på tværs af repositorier og køre uovervågede job, der samler dagens noter fra GitHub, Slack og Jira.
Martin Emde hos Gusto har kørt 2.425 sessioner siden december. Omkring 10 procent af udskrifterne siden midten af maj indeholder en afvisning fra auto mode, altså en handling, klassifikatoren stoppede. Arbejde, der før gik i stå, hver gang der skulle godkendes mappeadgang, kører nu uafbrudt.
De to tal hører sammen. En afvisningsrate på omkring 10 procent er ikke et tegn på, at systemet er i vejen. Det er grænsen, der gør sit arbejde, cirka hver tiende gang.
Også den her klasse holder uden for udviklingsafdelingen. Tag en integration, der skriver ind i det bookingsystem, kunderne bestiller i lige nu. Det er den samme handling som et Terraform-apply. Den kan rulles tilbage, men ikke før nogen har opdaget den, og indtil da er den virkeligheden for alle, der kigger.
Man er stadig ansvarlig for, hvad der sker.
Den tredje klasse er den, danske virksomheder overser
Tredje klasse er alt, der taler til andre mennesker i jeres navn. Garner Health holder Slack og e-mail bag et menneske og lader Claude arbejde frit i de researchtunge dele af udviklingsforløbet, i kodebasen og i deres MCP-opsætning.
Jeg kan ikke lide, at Claude bare handler på mine vegne, når jeg kommunikerer med et andet menneske.
Kai Zhou fra Nuro gør det samme, selvom hans virksomhed hører til i den første klasse: han skifter tilbage til manuel tilstand, når Claude Code skal gennemgå en pull request på hans vegne. Det handler ikke om koden. Gennemgangen er en udtalelse med hans navn på.
Det er den klasse, som jeg oplever bliver sprunget over, når en dansk virksomhed skriver sin første grænse. Ikke fordi den er svær at forstå, men fordi den er den eneste af de tre, hvor fejlen er lydløs. Et forkert Terraform-apply melder sig selv inden for minutter. En Slack-besked, der er sendt til en kunde i jeres navn, melder sig ikke, og ingen ruller den tilbage. Den bliver bare en del af det, kunden tror, han ved om jer.
Jeg har en kommerciel interesse i, at det her bliver skrevet ned, for det er den slags arbejde, jeg laver. Det ændrer ikke ved, at den tredje klasse er den, der mangler i de fleste første udkast.
Den glidende arbejdsdag og den større risiko er den samme mekanisme
Auto mode er lettere at arbejde med, fordi jeg sjældnere skal godkende manuelt. Det er også den samme adfærd, der gør, at Claude når længere på egen hånd, før nogen ser efter. Det er ikke to egenskaber, en god og en dårlig. Det er den samme adfærd, set fra to sider.
Derfor er det en afvejning, og håndtaget er autonomi. Skruer I op, får I både den glidende arbejdsdag og den længere række af handlinger, der nåede at ske. Skruer I ned, får I ingen af delene.
Det betyder også, at man kun kan gribe ind ét sted: ved at bestemme, hvilke handlinger der overhovedet ligger inden for grænsen. Menneske i loop AI betyder ikke, at et menneske ser hver handling. Det betyder, at et menneske har afgjort på forhånd, hvilke handlinger der kræver en person, og at afgørelsen står et sted, hvor andre kan læse den.
Anthropics egne målinger siger, at auto mode fangede flere farlige kommandoer, end mennesker gjorde. Det er deres tal, og det er derfor et argument for at skrive grænsen, ikke for at lade være.
Den fjerde klasse er jeres egen
De tre klasser er dem, tre virksomheder nåede frem til, hver for sig, ud fra deres egen forretning. Der er en fjerde, og den står ikke i nogens blogindlæg, fordi den handler om noget, kun I ved: hvad der hos jer er dyrt at tage tilbage. Skriv den ned sammen med de tre, og lad den stå i den samme fil som resten af grænsen.
Vil I have grænsen skrevet sammen med jeres team, er det den slags opgave, jeg tager under interne AI-værktøjer. En halv dag er som regel nok til at få de tre klasser på plads og finde den fjerde.
Fordeling af arbejdet
Artiklen her er lavet sammen med AI. Fordelingen nedenfor er et kvalificeret skøn, ikke en målt log.
Kilder
Anthropic: auto mode bliver standard i Claude Code, 7. august 2026 →
Anthropic: auto mode i produktion, kundernes opsætninger, 7. august 2026 →
Claude Code til virksomheder, kontrolleret 2. september 2026 →
Brinvik: Anthropic scanner nu skills. Her er hvad du skal vide →
Brinvik: EU AI Act, hvad skal min virksomhed gøre nu →
FAQ
Ofte stillede spørgsmål
Bypass slår godkendelsen fra. Auto mode flytter den. I bypass kører alt uden kontrol. I auto mode går hvert værktøjskald gennem en klassifikator, der blokerer det uigenkaldelige, det destruktive og det, der ligger uden for det miljø, Claude arbejder i, og Claude finder så et sikrere alternativ eller beder om lov. Chad Kunsman fra Gusto foretrækker auto mode frem for bypass netop derfor: den beskytter mod prompt injection og kontrollerer, at det, der sker, svarer til det, der blev bedt om.
Hvis I er på Pro, Max eller Team, er den standard på nye sessioner fra den 14. august 2026. Er I på Enterprise, Claude API, Claude Platform på AWS, Bedrock, Google Cloud Agent Platform (Vertex) eller Microsoft Foundry, er den stadig opt-in, kontrolleret den 2. september 2026. På Bedrock, Vertex og Foundry findes den til Opus 4.7 og 4.8 via miljøvariablen CLAUDE_CODE_ENABLE_AUTO_MODE=1.
Ja. En administrator kan låse tilstanden med `defaultMode` i managed settings, så alle sessioner starter der, hvor I vil have dem, eller slå funktionen helt fra med `disableAutoMode`. Begge dele er indstillinger og ikke en aftale, så de kan ændres igen samme dag.
Nej, og tallet er Anthropics eget. De 89 procent stammer fra deres kontrollerede forsøg med 1.053 farlige kommandoer, som de selv har offentliggjort. Et red team fra Apollo Research fik 12 procent forbi klassifikatoren og 7 procent med en hårdere opsætning. Hos Gusto stoppede auto mode noget i omkring 10 procent af udskrifterne siden midten af maj. En klassifikator, der fanger mere end et træt menneske, er stadig ikke en, der fanger alt.
Jer. Det er ikke et juridisk råd, men det er den måde, folk, der kører det i produktion, selv formulerer det. Chad Kunsman fra Gusto siger det ligeud: man er stadig ansvarlig for, hvad der sker. Derfor er grænsen et ledelsesdokument og ikke en teknisk detalje.
Auto mode ændrer ikke på, hvor jeres data ligger, og en klassifikator, der blokerer en shell-kommando, er ikke en automatisk afgørelse om en registreret person. Kravene kommer stadig fra de samme steder: hvor data behandles, hvem der er databehandler, og hvad I skal oplyse om. Det har jeg gennemgået i [gennemgangen af gennemsigtighedskravene i EU AI Act](/da/journal/ai-forordningen-gennemsigtighedskrav-2-august-2026).
Tre klasser holder i praksis. Det, der ikke kan gøres om. Det, der rammer noget, der er i drift. Det, der taler i jeres navn. Skriv dem ned som klasser af handlinger og ikke som en liste over værktøjer, så holder de, når værktøjerne skifter. Det er det, menneske i loop AI betyder i praksis: nogen har taget stilling, før kørslen gik i gang. Og tilføj den fjerde, der kun gælder jer.
