Claude Code sắp mặc định chế độ tự động: Anthropic chịu chi phí nếu dùng quá mức

< img id="wx_img" src="https://www.qbitai.com/wp-content/uploads/imgs/qbitai-logo-1.png" width="400" height="400">

10/08/2026 13:37:51 Nguồn: QbitAI

Phiên làm việc càng dài, hiệu suất của con người càng kém

Meng Chen đưa tin từ QbitAI | Official Account QbitAI

Chúng tôi chỉ muốn hỏi: Còn ai thực sự nghiêm túc xem xét các yêu cầu phê duyệt quyền mà công cụ lập trình AI đưa ra không?

Anthropic cũng đã phát hiện ra rằng, chỉ có 3% các yêu cầu cấp quyền bị từ chối.

Vì vậy, họ đã đưa ra một quyết định: 5 ngày nữa, tất cả Claude Code sẽ mặc định bật chế độ tự động (auto mode).

Bộ phân loại của chế độ tự động sẽ tiêu tốn một lượng nhỏ token cho mỗi lần gọi công cụ, và chi phí này sẽ không còn tính phí cho người dùng.

Các nền tảng đám mây như Amazon, Google, Microsoft hiện vẫn đang ở dạng tùy chọn, nhưng Anthropic chỉ cho họ thời hạn một tháng để chuyển đổi các kênh này sang chế độ tự động mặc định.

"Cha đẻ" của Claude Code cho biết, nội bộ đội ngũ từ lâu đã chỉ sử dụng chế độ tự động và không thể tưởng tượng nổi việc phải quay lại phê duyệt quyền thủ công.

Thời đại phê duyệt quyền thủ công đã không còn nữa.

Đối với thay đổi lần này, nhóm lý do đầu tiên mà Anthropic đưa ra là việc phê duyệt thủ công đã trở thành một hành động theo thói quen:

Tỷ lệ đồng ý của người dùng đối với các thông báo quyền của Claude Code là 97%. Để so sánh, khi Claude trình một kế hoạch cho người dùng phê duyệt, tỷ lệ từ chối là 39%; trong khi tỷ lệ từ chối đối với một yêu cầu quyền đơn lẻ chỉ là 3%.

Xu hướng tương tự cũng xuất hiện trong các tệp cấu hình. Tính đến tháng 6 năm 2026, 49,5% người dùng CLI tích cực đã tự viết "Bash allow-rule", trong đó 5% cho phép chạy bất kỳ lệnh shell nào, và 43% viết các quy tắc trình thông dịch như Bash(python:), Bash(node:) với hiệu quả thực tế tương đương. Tỷ lệ này tăng khoảng 5 điểm phần trăm mỗi năm tuần.

Ngoài ra, 62% người dùng đã từng sử dụng `bypassPermissions` hoặc nhấn "Không hỏi lại" trên Bash, và 25% các phiên tương tác ngay từ đầu đã chạy ở chế độ `bypass permissions`.

Nhóm lý do thứ hai đến từ một thí nghiệm có kiểm soát. Anthropic đã tuyển dụng 1.053 người thử nghiệm chuyên nghiệp có trả phí thông qua các nhà cung cấp nghiên cứu để thực hiện các tác vụ lập trình trong môi trường thử nghiệm được thiết lập riêng. Khi phiên làm việc đi được một nửa, một trong các thông báo quyền được thay thế bằng một lệnh nguy hiểm rõ ràng. Nhà cung cấp ghi lại xem người thử nghiệm có nhấn đồng ý hay không (việc đồng ý không thực sự thực thi bất kỳ thao tác nguy hiểm nào, chỉ có văn bản thông báo là bị thay đổi).

Kết quả là tỷ lệ người thử nghiệm chặn lệnh này là 13,6% (143 lần); trong khi auto mode chặn được 89% (937 lần) đối với cùng một lệnh.

So sánh trực diện, auto mode đã chặn được 800 lệnh mà con người đã cho phép, trong khi con người chỉ chặn được 6 lệnh mà auto mode đã cho phép.

Hơn nữa, phiên làm việc càng dài, hiệu suất của con người càng kém: giai đoạn đầu còn có thể chặn được khoảng 17%, nhưng sau khi trải qua hơn 50 thông báo, tỷ lệ này giảm xuống còn khoảng 5%, trong khi tỷ lệ chặn của auto mode không thay đổi theo độ dài phiên làm việc.

Dữ liệu sản xuất cũng được đem ra đánh giá lại.

Từ tháng 5 đến tháng 6 năm 2026, Anthropic đã trích xuất các phiên làm việc được đánh dấu bởi quy trình an toàn từ các tài khoản đã ủy quyền dữ liệu cho mục đích huấn luyện và phân tích, sau đó sử dụng mô hình để đánh giá lại mức độ nghiêm trọng từ 0 đến 10.

-10 điểm đại diện cho thiệt hại không thể đảo ngược trên phạm vi toàn công ty. -7 điểm đại diện cho cấp độ xóa bản ghi cơ sở dữ liệu sản xuất. -0 điểm đại diện cho các thao tác cục bộ hoàn toàn có thể khôi phục như ghi đè một tệp tạm thời.

Đồng thời, họ đánh giá mức độ rõ ràng trong yêu cầu của người dùng đối với thao tác đó. Ở mức độ nghiêm trọng từ 7 điểm trở lên, 6,3% các phiên làm việc phê duyệt thủ công xuất hiện các thao tác độc hại mà người dùng không yêu cầu rõ ràng, trong khi ở các phiên auto mode con số này là 2,4%. Khoảng cách này tồn tại ở mọi mức độ nghiêm trọng được thử nghiệm.

Bản thân bộ phân loại cũng đã trải qua các bài kiểm tra đối kháng. Anthropic đã thực hiện thí điểm kéo dài hai tuần với công ty an ninh AI Apollo Research, đưa các cuộc tấn công tổng hợp vào các dấu vết lập trình thực tế, bao gồm ba bộ dữ liệu: lỗi tổng quát hóa, rò rỉ dữ liệu và các mối đe dọa liên quan đến bảo mật.

Sau khi Apollo bàn giao các mẫu tấn công thành công và các đề xuất củng cố, Anthropic chủ yếu tăng cường bằng cách cung cấp thêm ngữ cảnh môi trường cho bộ phân loại, bao gồm khả năng hiển thị kho lưu trữ (repository visibility), trạng thái git và các quy tắc xử lý dữ liệu.

Sau khi củng cố, Apollo đã kiểm tra lại bằng một bộ tấn công tách biệt mà Anthropic không thể tiếp cận. Auto mode đã thu hồi được khoảng một nửa số cuộc tấn công bị bỏ sót trước đó, với cái giá là bỏ sót khoảng 2% các cuộc tấn công đã chặn được trước đó. Khi tính toán gộp hai bộ dữ liệu, tỷ lệ bỏ sót giảm từ 12% xuống 7%. Anthropic cũng giải thích rằng những cuộc tấn công này được tổng hợp để tìm ra các điểm yếu của bộ phân loại, vì vậy 7% không nên được hiểu là tỷ lệ bỏ sót trong lưu lượng truy cập thực tế.

Đối với tấn công tiêm nhiễm (prompt injection), Anthropic đã ủy quyền cho bên thứ ba là Trajectory Labs thực hiện đánh giá, đồng thời kéo cả OpenAI vào làm "tấm đệm", với tổng cộng 72 kịch bản tiêm nhiễm gián tiếp, mỗi kịch bản chạy 10 lần.

Các cuộc tấn công được tối ưu hóa cho Claude Opus 4.7, nhưng vì Opus 4.7 không nằm trong danh sách thử nghiệm, nên tất cả các mô hình tham gia đều phải đối mặt với các cuộc tấn công chưa từng thấy.

Trong 720 lần thử nghiệm tấn công, các mô hình Claude Fable 5, Opus 5 và Sonnet 5 chạy auto mode không bị tấn công thành công lần nào;

Tỷ lệ tấn công thành công đối với GPT-5.6 Sol chạy chế độ Codex Auto-review là 5,83%, và ở chế độ Full Access là 19,03%.

Để tham khảo, tỷ lệ tấn công thành công trung bình của mô hình Claude mới nhất ở chế độ `bypassPermissions` mà không có bảo vệ bổ sung là 0,09%.

Ba trường hợp chặn công khai bao gồm:

Sau khi một lần tải lên ổ đĩa đám mây nội bộ thất bại, phương án dự phòng của Claude là đăng cùng một báo cáo đó lên trang chia sẻ mã nguồn công khai, hành động này đã bị từ chối và chuyển sang hỏi người dùng;

Trong một phiên làm việc dài, Claude đã cố gắng kết thúc hàng loạt tiến trình trên hơn hai nghìn pod và xếp hàng một thao tác xóa sẽ khiến hàng trăm tác vụ huấn luyện đang chạy trên GPU bị hủy bỏ, lệnh này đã bị đánh dấu trước khi thực thi;

Một lần khác là khi được yêu cầu cấu hình quyền hóa đơn chỉ đọc, Claude đã sử dụng một vai trò đám mây có quyền quản trị đầy đủ ở cấp gốc của tài khoản, phạm vi quyền không khớp với yêu cầu nên đã bị chặn lại.

Các khả năng mới được bổ sung gần đây bao gồm: