Bản chép lời tương tác
Understanding and Configuring Auto Mode in Claude CodeHiểu và cấu hình Auto Mode trong Claude Code
An overview of how Auto Mode in Claude Code balances developer autonomy with safety through separate action classifiers, server-side threat probes, tier checks, and customizable environment controls.Tổng quan về cách Auto Mode trong Claude Code cân bằng giữa quyền tự quyết của nhà phát triển và tính an toàn thông qua bộ phân loại hành động riêng biệt, đầu dò mối đe dọa phía máy chủ, kiểm tra phân tầng và các kiểm soát môi trường có thể tùy chỉnh.
Video gốc trên kênh Claude; video và nội dung thuộc bản quyền Anthropic. Bản dịch tiếng Việt do Innostack thực hiện, không phải bản chính thức.
Introduction to Auto ModeGiới thiệu về Auto Mode
Speaker 1
In our research, 97% of permission prompts in Claude Code get approved.Khái niệmAuto Mode mitigates developer approval fatigue in multi-step tasks by screening actions for harm automatically rather than requiring manual permission prompts.Chế độ Tự động (Auto Mode) giảm bớt sự mệt mỏi khi phê duyệt của nhà phát triển trong các tác vụ nhiều bước bằng cách tự động kiểm tra tác hại của các hành động thay vì yêu cầu lời nhắc xin phép thủ công. These permission prompts appear whenever Claude proposes an action, like running a command, fetching from the web, or editing a file. Approving or denying each one gives you control, but it can lead to approval fatigue, especially on multi-step tasks. So a few months ago, we introduced Auto Mode. Auto Mode checks for potentially harmful actions while letting Claude complete long-running work with fewer interruptions.
Trong nghiên cứu của chúng tôi, 97% lời nhắn xin phép trong Claude Code đều được phê duyệt. Các lời nhắn xin phép này xuất hiện bất cứ khi nào Claude đề xuất một hành động, như chạy lệnh, lấy dữ liệu từ web hoặc chỉnh sửa tệp. Việc phê duyệt hoặc từ chối từng yêu cầu mang lại cho bạn quyền kiểm soát, nhưng nó có thể dẫn đến sự mệt mỏi vì phê duyệt quá nhiều, đặc biệt là đối với các tác vụ nhiều bước. Vì vậy, cách đây vài tháng, chúng tôi đã giới thiệu Auto Mode. Auto Mode kiểm tra các hành động có khả năng gây hại trong khi vẫn cho phép Claude hoàn thành công việc chạy trong thời gian dài với ít sự gián đoạn hơn.
Classifier and Threat Defense MechanismsCơ chế phân loại và phòng thủ mối đe dọa
But if you're no longer approving each action, what determines if it's safe to run?Khái niệmAuto Mode evaluates actions using an independent classifier isolated from Claude's reasoning context to ensure unbiased safety checks against user intent.Chế độ Tự động đánh giá các hành động bằng một bộ phân loại độc lập tách biệt khỏi bối cảnh suy luận của Claude để đảm bảo kiểm tra an toàn không định kiến so với ý định của người dùng. Let's look at how Auto Mode works and how you can configure it for your environment and team. It would be easy to assume Claude is now approving its own actions, But that would make Claude its own reviewer, introducing bias through shared context. That's like writing, reviewing, and merging your own pull request. Instead, when Claude proposes an action, it runs through a classifier, a separate check that screens the action and approves or denies it.
Nhưng nếu bạn không còn phê duyệt từng hành động nữa, điều gì sẽ xác định liệu hành động đó có an toàn để chạy hay không? Hãy cùng xem cách Auto Mode hoạt động và cách bạn có thể cấu hình nó cho môi trường và nhóm của mình. Sẽ thật dễ dàng nếu giả định rằng Claude hiện đang tự phê duyệt các hành động của chính mình, nhưng điều đó sẽ khiến Claude trở thành người tự đánh giá chính mình, gây ra thiên vị do dùng chung ngữ cảnh. Điều đó giống như việc bạn tự viết, tự đánh giá và tự hợp nhất pull request của chính mình. Thay vào đó, khi Claude đề xuất một hành động, hành động đó sẽ chạy qua một bộ phân loại, một bước kiểm tra riêng biệt để sàng lọc hành động và phê duyệt hoặc từ chối nó.
The classifier sees your messages and Claude's tool calls. It doesn't see Claude's reasoning. Responses to you or to output. So it isn't influenced by them. It compares each action against your intent and approves the ones that match.
Bộ phân loại nhìn thấy các tin nhắn của bạn và các lời gọi công cụ của Claude. Nó không nhìn thấy lập luận của Claude, các câu trả lời cho bạn hay kết quả đầu ra. Do đó, nó không bị ảnh hưởng bởi chúng. Nó so sánh từng hành động với ý định của bạn và phê duyệt những hành động phù hợp.
What it specifically checks for is Claude reaching beyond what you intended towards something irreversible or destructive, like deleting remote branches when you only asked it to tidy up locally.Khái niệmCombining server-side content probes with action classifiers creates a multi-layered defense against prompt injections embedded in fetched content.Việc kết hợp kiểm tra nội dung phía máy chủ với các bộ phân loại hành động sẽ tạo ra một hàng rào phòng thủ nhiều lớp chống lại các cuộc tấn công chèn câu lệnh (prompt injection) nhúng trong nội dung được lấy về. If the classifier denies an action, Claude usually tries to find a safer way to proceed on its own. For example, if a force push to main gets denied, Claude might try to push to a new branch instead. If it keeps getting denied, auto mode pauses and you approve the action yourself. Any webpages or files Claude reads could carry hidden instructions that try to steer it away from your original intent.
Những gì nó kiểm tra cụ thể là liệu Claude có vượt quá những gì bạn dự định để hướng tới một điều gì đó không thể hoàn tác hoặc mang tính phá hoại hay không, chẳng hạn như xóa các nhánh từ xa khi bạn chỉ yêu cầu nó dọn dẹp cục bộ. Nếu bộ phân loại từ chối một hành động, Claude thường cố gắng tự tìm một cách an toàn hơn để tiếp tục. Ví dụ: nếu lệnh force push vào nhánh main bị từ chối, Claude có thể thử push vào một nhánh mới để thay thế. Nếu liên tục bị từ chối, auto mode sẽ tạm dừng và bạn sẽ tự mình phê duyệt hành động đó. Bất kỳ trang web hoặc tệp nào mà Claude đọc đều có thể chứa các hướng dẫn ẩn nhằm cố gắng hướng nó rời xa ý định ban đầu của bạn.
So before that content enters Claude's context, A server-side probe scans every tool result for malicious instructions and flags anything suspicious with a warning to treat the content skeptically. Then the classifier checks whether Claude's next action still lines up with what you asked for. So an attack has to clear both layers. We tested this by running prompt injection attacks against Claude code with probes and auto mode enabled. The attack success rate in our evaluations dropped to zero, but not every action needs to go through the classifier.
Vì vậy, trước khi nội dung đó đi vào ngữ cảnh của Claude, một đầu dò phía máy chủ sẽ quét mọi kết quả của công cụ để tìm các hướng dẫn độc hại và gắn cờ bất kỳ điều gì đáng nghi kèm theo cảnh báo cần xử lý nội dung đó một cách hoài nghi. Sau đó, bộ phân loại sẽ kiểm tra xem hành động tiếp theo của Claude có còn phù hợp với những gì bạn yêu cầu hay không. Vì vậy, một cuộc tấn công phải vượt qua cả hai lớp. Chúng tôi đã kiểm tra điều này bằng cách chạy các cuộc tấn công chèn câu lệnh chống lại Claude Code khi đã bật các đầu dò và auto mode. Tỷ lệ tấn công thành công trong các đánh giá của chúng tôi đã giảm xuống bằng 0, nhưng không phải hành động nào cũng cần phải đi qua bộ phân loại.
Action Evaluation and TieringĐánh giá và phân tầng hành động
Your deny, ask, and allow rules run first.Khái niệmAuto Mode uses rule priority and tier checks to bypass the classifier for safe read-only tasks, sending only high-risk operations like shell commands for review.Chế độ Tự động sử dụng ưu tiên quy tắc và kiểm tra cấp độ để bỏ qua bộ phân loại đối với các tác vụ chỉ đọc an toàn, chỉ gửi các thao tác có rủi ro cao như lệnh shell đi kiểm duyệt. Then a tier check decides which actions the classifier needs to see. Most of what Claude does is read-only or recoverable, like searching your codebase or editing files in your project. These actions skip the classifier. On the other hand, riskier operations like shell commands, web fetches, or anything that reaches outside of your environment are sent through the classifier.
Các quy tắc từ chối (deny), hỏi (ask) và cho phép (allow) của bạn sẽ chạy trước. Sau đó, bước kiểm tra phân tầng sẽ quyết định hành động nào cần bộ phân loại xem xét. Hầu hết những gì Claude làm là chỉ đọc hoặc có thể phục hồi, như tìm kiếm trong cơ sở mã hoặc chỉnh sửa các tệp trong dự án của bạn. Các hành động này sẽ bỏ qua bộ phân loại. Mặt khác, các thao tác rủi ro hơn như các lệnh shell, lấy dữ liệu web hoặc bất kỳ điều gì vươn ra ngoài môi trường của bạn sẽ được gửi qua bộ phân loại.
Environment and Inheritance SettingsCài đặt môi trường và kế thừa
By default, the classifier only counts your working directory and Git remotes as internal.Quy tắcExplicitly define internal infrastructure in environment settings to prevent trusted corporate resources from being flagged as external security risks by default.Xác định rõ ràng hạ tầng nội bộ trong cài đặt môi trường để ngăn các tài nguyên doanh nghiệp đáng tin cậy bị gắn cờ là rủi ro bảo mật bên ngoài theo mặc định. That means everything else appears external, including your own company's infrastructure. So to get the most out of Auto Mode, it's worth configuring it. Start by defining your environment. Admins can set this in Managed Settings, which every developer in your organization inherits.
Theo mặc định, bộ phân loại chỉ tính thư mục làm việc và các Git remote của bạn là nội bộ. Điều đó có nghĩa là mọi thứ khác đều xuất hiện dưới dạng bên ngoài, bao gồm cả hạ tầng của chính công ty bạn. Vì vậy, để tận dụng tối đa Auto Mode, rất đáng để cấu hình nó. Bắt đầu bằng cách xác định môi trường của bạn. Quản trị viên có thể thiết lập điều này trong Cài đặt được quản lý (Managed Settings), mà mọi nhà phát triển trong tổ chức của bạn đều kế thừa.
Developers can add their own entries in User Settings, but they can't remove what admins already set.Quy tắcInclude the default environment string when customizing environment settings to preserve built-in internal path mappings alongside organization-specific infrastructure.Bao gồm chuỗi môi trường mặc định khi tùy chỉnh các cài đặt môi trường để duy trì các ánh xạ đường dẫn nội bộ tích hợp sẵn cùng với hạ tầng riêng của tổ chức. Use the Environment field to describe your infrastructure in plain English. Such as your GitHub org, Cloud Buckets, and internal services. Setting environment replaces Cloud's built-in entries. So add the default string to keep them.
Các nhà phát triển có thể thêm các mục nhập của riêng họ trong Cài đặt người dùng (User Settings), nhưng họ không thể xóa những gì quản trị viên đã thiết lập. Sử dụng trường Environment để mô tả cơ sở hạ tầng của bạn bằng tiếng Anh thông thường. Chẳng hạn như tổ chức GitHub, Cloud Buckets và các dịch vụ nội bộ của bạn. Việc thiết lập environment sẽ thay thế các mục nhập tích hợp sẵn của Claude. Vì vậy hãy thêm chuỗi mặc định để giữ lại chúng.
Granular Control RulesCác quy tắc kiểm soát chi tiết
If you need more fine-grained control, use allow for exceptions, soft deny for actions that should be blocked unless you explicitly ask, and hard deny for actions that should be blocked no matter what you ask.Khái niệmClassifier guidance fields provide soft context for risk evaluations, whereas deny and ask rules enforce strict tool call boundaries and mandatory prompt checks.Các trường hướng dẫn bộ phân loại cung cấp bối cảnh mềm cho các đánh giá rủi ro, trong khi các quy tắc từ chối (deny) và hỏi (ask) thực thi ranh giới gọi công cụ nghiêm ngặt cùng các kiểm tra lời nhắc bắt buộc.Khái niệmAllow rules that grant broad authority like arbitrary code execution remain subject to classifier review rather than bypassing security screening automatically.Các quy tắc cho phép (allow) trao quyền hạn rộng như thực thi mã tùy ý vẫn phải chịu sự xem xét của bộ phân loại thay vì tự động bỏ qua kiểm tra an ninh. These fields are guidance the classifier factors into each check, not hard rules. For hard limits, add deny rules to block matching tool calls and ask rules to force a prompt even in auto mode. Allow rules also work too, but anything broad enough
Nếu bạn cần kiểm soát tinh chỉnh chi tiết hơn, hãy sử dụng allow cho các ngoại lệ, soft deny cho các hành động nên bị chặn trừ khi bạn yêu cầu rõ ràng, và hard deny cho các hành động nên bị chặn bất kể bạn yêu cầu gì. Các trường này là sự hướng dẫn mà bộ phân loại sẽ cân nhắc trong mỗi lần kiểm tra, chứ không phải là quy tắc cứng. Đối với các giới hạn cứng, hãy thêm quy tắc deny để chặn các lời gọi công cụ khớp với quy tắc và quy tắc ask để bắt buộc hiện lời nhắn xin phép ngay cả trong auto mode. Quy tắc Allow cũng hoạt động, nhưng bất kỳ quy tắc nào đủ rộng để cấp quyền thực thi mã tùy ý cũng sẽ được gửi đến bộ phân loại.
to grant arbitrary code execution is also sent to the classifier. All right, that's auto mode.
Được rồi, đó là Auto Mode.
Rollout Strategy and Best PracticesChiến lược triển khai và thực hành tốt nhất
We started with a question. If you're no longer approving each action, how are they reviewed? And now you know. A classifier that reads your messages but not Claude's. A tier check that reserves it for actions that are hard to undo.
Chúng ta đã bắt đầu với một câu hỏi. Nếu bạn không còn phê duyệt từng hành động nữa, chúng sẽ được xem xét như thế nào? Và bây giờ bạn đã biết. Một bộ phân loại đọc tin nhắn của bạn nhưng không đọc tin nhắn của Claude. Một bước kiểm tra phân tầng dành riêng bộ phân loại cho các hành động khó hoàn tác.
A probe that scans it for hidden instructions in a trust boundary that you configure.Quy tắcRoll out Auto Mode incrementally by starting with narrow permissions, monitoring blocked actions, and gradually widening access based on observed usage.Triển khai Chế độ Tự động theo từng bước bằng cách bắt đầu với các quyền hạn hẹp, giám sát các hành động bị chặn và dần dần mở rộng quyền truy cập dựa trên quá trình sử dụng quan sát được.Quy tắcRetain manual reviews or custom evaluations for high-stakes operations like production infrastructure updates rather than relying entirely on automated safety.Duy trì việc xem xét thủ công hoặc các đánh giá tùy chỉnh cho các thao tác quan trọng như cập nhật hạ tầng sản xuất thay vì phụ thuộc hoàn toàn vào tính năng an toàn tự động. Together, they catch what manual human reviews might miss. When you are rolling it out, start narrow, watch what gets denied, and then widen it from there. For high-stake operations like changes to your production infrastructure, you should review Claude's actions yourself or build your own evals to gain more confidence. To learn more about our safety research, read our blog post linked below.
Một đầu dò quét nội dung để tìm các hướng dẫn ẩn trong ranh giới tin cậy do bạn cấu hình. Cùng nhau, chúng bắt được những gì mà quá trình đánh giá thủ công của con người có thể bỏ sót. Khi bạn triển khai tính năng này, hãy bắt đầu ở phạm vi hẹp, theo dõi những gì bị từ chối, và sau đó mở rộng ra từ đó. Đối với các thao tác quan trọng nguy cơ cao như thay đổi cơ sở hạ tầng sản xuất của bạn, bạn nên tự mình xem xét các hành động của Claude hoặc tự xây dựng các bài đánh giá riêng để có thêm niềm tin. Để tìm hiểu thêm về nghiên cứu an toàn của chúng tôi, hãy đọc bài viết trên blog của chúng tôi được liên kết bên dưới.