3.7 Auto Mode 与沙箱安全 — 放飞但不失控

学习目标

学完这节课，你将能够：

• 理解 Auto Mode 的工作原理和它与普通权限模式的本质区别
• 掌握 6 种权限模式在 Auto Mode 视角下的深度对比
• 理解沙箱（Sandbox）的 OS 级隔离机制
• 判断什么场景适合开启 Auto Mode，什么场景必须关掉
• 建立一套安全使用 Auto Mode 的最佳实践

---

Auto Mode 是什么

在 3.3 节我们聊过 6 种权限模式——从"每步确认"到"全自动"。但那些模式本质上都是你手动选的，是一种静态配置。

Auto Mode 是 Anthropic 推出的 Research Preview 特性，思路完全不同：它不是让你选"放行还是拦截"，而是让 Claude Code 后台运行一个分类器，由 AI 自己判断每个操作的风险等级，然后自动决定要不要问你。

打个比方：

传统权限模式 → 你给保安一张名单，名单上的人放行，其他人拦住
Auto Mode   → 保安自己会看脸，觉得安全的放行，觉得可疑的拦你

具体来说，Auto Mode 开启后，每次 Claude Code 要调用工具（写文件、执行命令等），后台分类器会把这个操作分成三档：

1. 低风险：直接执行，不打扰你（比如读文件、搜索代码）
2. 中风险：执行，但在终端高亮提示你发生了什么（比如修改已有文件）
3. 高风险：暂停，等你确认后才执行（比如删除文件、执行网络请求）

[截图: Auto Mode 开启后，终端中低风险操作自动执行、高风险操作暂停等待确认的对比展示]

注意：Auto Mode 目前仍然是 Research Preview 状态，意味着分类器的判断不一定总是完美的。Anthropic 在持续优化，但你不能百分百依赖它的风险判断。

---

6 种权限模式深度对比

在 3.3 节我们从"文件读写/命令执行"的维度做了对比。这次我们换一个视角——从自动化程度、风险暴露面、适合场景三个维度重新审视：

模式	自动化程度	风险暴露面	谁在做判断	最佳场景	回退成本
默认模式	最低	最小	你（每步确认）	学习阶段、陌生项目	几乎为零
acceptEdits	中低	文件变更	你管命令，AI 管文件	日常开发、有 Git 兜底	低（Git 回退）
acceptCommands	中低	命令执行	你管文件，AI 管命令	信任命令、严控代码	中（命令可能不可逆）
acceptEditsAndCommands	高	文件 + 命令	你只管方向	熟练用户、快速原型	中（需 Git 兜底）
Auto Mode	自适应	动态评估	AI 分类器	长任务、复杂编排	取决于具体操作
bypassPermissions	最高	全部（含危险操作）	无人把关	沙箱环境、一次性脚本	高（可能不可逆）

关键区别在于：acceptEditsAndCommands 是"一刀切全放行"，而 Auto Mode 是"按风险动态放行"。理论上 Auto Mode 更聪明，因为它不会对 rm -rf / 这种命令也自动放行——分类器会把它拦下来。

[截图: 权限模式切换菜单中 Auto Mode 选项的位置，按 Shift+Tab 唤出]

---

沙箱机制：OS 级的安全兜底

不管你用哪种权限模式，Claude Code 都提供了一层更底层的保护——沙箱（Sandbox）。

沙箱和权限模式是两回事。权限模式决定"AI 要不要问你"，沙箱决定"AI 能不能碰到"。即使你给了 AI 全部权限，沙箱仍然会限制它的活动范围。

沙箱做了什么

Claude Code 的沙箱基于操作系统级别的隔离机制实现，主要提供两层保护：

1. 文件系统隔离

你的电脑
├── /Users/你/project/     ← AI 可以访问（工作目录）
├── /Users/你/Documents/   ← AI 看不到
├── /Users/你/.ssh/        ← AI 碰不到
└── /etc/                  ← AI 进不去

沙箱会把 AI 的文件系统访问限制在项目目录和必要的临时目录内。它不能随意浏览你的桌面文件、读取你的 SSH 密钥、或者修改系统配置。

2. 网络隔离

沙箱可以限制 AI 执行的命令的网络访问能力。这意味着即使 AI 执行了一个恶意脚本，该脚本也不能随意向外部服务器发送你的代码或数据。

[截图: Claude Code 在沙箱模式下执行命令时，尝试访问项目目录外文件被拒绝的错误提示]

沙箱 vs 权限模式

把这两层防护放在一起看：

第 1 层：权限模式 → "AI 做这个操作之前要不要问我？"
第 2 层：沙箱     → "即使允许了，AI 能碰到的范围有多大？"

这就像一栋大楼的安保：权限模式是前台门禁（来访者需要登记），沙箱是每层楼的门禁卡（登记了也只能去指定楼层）。两层一起用，才是完整的安全体系。

如何确认沙箱是否生效

在 macOS 上，Claude Code 使用 Apple 的 Sandbox 框架（sandbox-exec）；在 Linux 上则利用容器化技术或命名空间隔离。你可以通过以下方式确认沙箱状态：

# 在 Claude Code 中让 AI 尝试读取项目外的文件
cat ~/.ssh/id_rsa
# 如果沙箱生效，会返回 "Operation not permitted" 或类似错误

[截图: 沙箱生效时，AI 尝试读取 ~/.ssh/ 目录被拒绝的终端输出]

---

什么时候该用 Auto Mode

适合开启 Auto Mode 的场景：

• 长链任务：比如"把整个项目从 JavaScript 迁移到 TypeScript"，中间要改几十个文件。如果每步都确认，你会确认到手软。
• 复杂编排：涉及子智能体协作的多步骤任务，频繁的确认弹窗会打断 AI 的工作节奏。
• 熟悉的项目：你对代码库很熟，AI 做的操作你心里有数，只是不想手动按 y。
• 有 Git 安全网：工作区干净，随时可以 git stash 或 git checkout . 回退。

不适合开启 Auto Mode 的场景：

• 生产环境操作：部署、数据库迁移、配置修改——这些操作不可逆，必须人工把关。
• 陌生的代码库：你还不了解项目结构，AI 的操作你无法快速判断对错。
• 涉及敏感数据：项目中有密钥、用户数据、证书等，任何误操作后果都很严重。
• 网络相关操作：curl、wget、包安装——即使有沙箱，网络操作仍需谨慎。

---

安全注意事项与最佳实践

第一条：Git 是你的终极安全网

不管用什么权限模式，开始前先确保：

git status        # 确认工作区干净
git stash         # 或者暂存当前改动

AI 搞砸了？一条命令回到起点：

git checkout .    # 撤销所有文件改动
git clean -fd     # 清除新增的文件

第二条：分层授权，不要一步到位

推荐的升级路径：
默认模式 → acceptEdits → Auto Mode → acceptEditsAndCommands
                                  ↗
                  （而不是直接跳到 bypassPermissions）

每升一级，先用一段时间感受 AI 的行为模式，确认它不会搞出意外再继续放开。

第三条：沙箱 + 权限模式组合使用

单独依赖任何一层都不够安全。最佳实践是：

• 沙箱始终开启（默认就是开启的，不要手动关闭）
• 权限模式根据任务复杂度动态调整
• 敏感操作前手动切回默认模式（按 Shift+Tab 随时可切）

第四条：关注 Auto Mode 的分类器行为

Auto Mode 的分类器不是完美的。刚开始使用时，留意它把哪些操作标为"低风险"自动放行了。如果你发现它对某类操作的判断不符合你的预期，可以：

1. 切回手动模式，用 allowedTools 做精细控制
2. 向 Anthropic 反馈（毕竟还是 Research Preview）

第五条：敏感项目用 .claudeignore

和 .gitignore 类似，你可以创建 .claudeignore 文件，让 Claude Code 完全忽略某些文件或目录：

# .claudeignore
.env
.env.*
secrets/
*.pem
*.key

这是最硬的一道防线——不管什么权限模式、不管沙箱开没开，这些文件 AI 根本看不到。

---

小结

• Auto Mode 是 Research Preview 特性，由后台分类器动态判断操作风险，自动决定放行还是拦截——比手动选权限模式更智能，但还不完美
• 6 种权限模式各有定位：默认模式最安全，acceptEdits 性价比最高，Auto Mode 最智能，bypassPermissions 最危险
• 沙箱提供 OS 级的文件系统和网络隔离，是独立于权限模式的第二层防护
• 安全的核心原则：Git 兜底 + 分层授权 + 沙箱常开 + 敏感文件隔离
• Auto Mode 适合长链任务和熟悉的项目，不适合生产环境和敏感操作

记住：Claude Code 的安全设计是"瑞士奶酪模型"——每一层都有漏洞，但多层叠加后，一个威胁要同时穿过所有层的漏洞才能造成伤害。权限模式、沙箱、Git、.claudeignore 各守一层，组合起来才是真正的安全。