O Claude Code liga o auto mode por padrão em 14 de agosto: o que muda

Resposta curta: a partir de 14 de agosto de 2026, o auto mode passa a ser o modo de permissão padrão das sessões novas do Claude Code nos planos Pro, Max e Team, o que significa que o Claude Code deixa de pedir a sua aprovação para ações de rotina e um modelo classificador separado passa a revisá-las no lugar. A documentação da Anthropic afirma que um padrão definido por você permanece em vigor a menos que você aceite o aviso único de troca, e que um padrão gerido pela sua organização não muda. Você pode trocar de modo quando quiser.

O que exatamente muda no Claude Code em 14 de agosto de 2026?

Uma coisa muda: o modo em que a sessão nova começa. Até agora, uma sessão nova do Claude Code começava no modo Manual, cujo valor de configuração é default, em que só leituras rodam sem aviso e toda edição de arquivo ou comando de terminal para esperando a sua aprovação. A partir de 14 de agosto, sessões novas em Pro, Max e Team começam em auto, descrito na tabela oficial de modos como rodando "Everything, with background safety checks", isto é, tudo, com verificações de segurança em segundo plano. A mudança está documentada no resumo de novidades do Claude Code da semana de 3 a 7 de agosto de 2026 e na referência de modos de permissão, ambos lidos em 11 de agosto de 2026.

Três detalhes decidem se isso toca você. Se você já definiu o defaultMode por conta própria, a sua configuração sobrevive à virada, a menos que você aceite um aviso único oferecendo trocá-la. Se a sua organização gere o padrão, nada muda. E o mesmo resumo registra algo que já está valendo nesses planos: as chamadas de classificador que o auto mode faz não contam mais para os seus limites de uso, então a verificação extra de segurança não é cobrada da sua cota em Pro, Max e Team.

O que o auto mode do Claude Code continua bloqueando?

O auto mode não é porta aberta. Toda ação que não seja uma leitura ou uma edição dentro do diretório de trabalho vai para um modelo classificador separado, que, segundo a documentação, bloqueia o que escala além do que você pediu, o que mira infraestrutura não reconhecida, ou o que parece movido por conteúdo hostil que o Claude leu. A lista publicada de bloqueios é longa e específica: baixar e executar código, como em curl | bash, deploy e migração de produção, force push, conceder permissão de IAM ou de repositório, terraform destroy e os equivalentes de Pulumi, CDK e Terragrunt, o git reset --hard e os outros comandos que o classificador presume que descartariam trabalho não commitado, imprimir uma credencial viva na transcrição ou em arquivo, e remoções apontadas para a raiz do sistema de arquivos ou para o seu diretório pessoal.

Contamos as categorias daquela página em 11 de agosto de 2026, e a contagem diz uma coisa que a lista sozinha não diz: são mais de trinta categorias distintas de bloqueio, e cerca de dois terços delas aparecem marcadas como acrescentadas na versão 2.1.195 do Claude Code ou posterior. Essa é a nossa leitura, e você pode refazê-la na mesma página. A consequência prática importa mais que o número: o auto mode como ele se comportava algumas versões atrás não é o auto mode de hoje, então conselho sobre ele escrito até um mês atrás está descrevendo outro software. Dá para imprimir as listas de regras atuais em JSON você mesmo, rodando claude auto-mode defaults.

O que o Claude Code aprova sem perguntar no auto mode?

A lista de permitidos é de onde vem a sensação do dia a dia no auto mode, e vale ler antes de decidir o que você acha da virada. O Claude Code aprova sozinho operações locais de arquivo no seu diretório de trabalho, instalar dependências declaradas nos seus arquivos de lock ou manifestos, requisições HTTP somente de leitura, ler o .env e mandar aquelas credenciais para a API correspondente a elas, e dar push em qualquer branch do repositório em que você está trabalhando, inclusive a branch padrão. Abrir um pull request que corresponde ao que você pediu também roda sem aviso.

Duas exceções moram dentro desse último item e passam despercebidas com facilidade. Uma branch fora da padrão cujo nome a marca como alvo de deploy ou de publicação, como production ou gh-pages, não é coberta pela permissão geral de push e é julgada nos próprios termos. E o conteúdo de qualquer push continua sendo conferido contra todas as outras regras, então destino permitido não torna permitido um commit que carrega segredo. Se você quer um ponto de conferência humano antes de push ou pull request sem sair do auto mode, o caminho documentado é acrescentar regras permissions.ask, e não abandonar o modo.

Auto mode é a mesma coisa que rodar o Claude Code com --dangerously-skip-permissions?

Não, e essa distinção é a coisa mais útil deste texto, porque os dois são discutidos como se fossem o mesmo atalho. A flag --dangerously-skip-permissions coloca o Claude Code no modo bypassPermissions, cuja linha na tabela oficial de modos diz "Everything", tudo, na coluna do que roda sem perguntar, e "Isolated containers and VMs only", só contêineres e máquinas virtuais isolados, na coluna do que ele serve. Não existe classificador nesse caminho, enquanto o auto mode mantém uma etapa de revisão na frente de toda ação que não seja leitura. Os dois podem ser fixados como modo inicial pelo permissions.defaultMode nas configurações, então a diferença não é que um seja configurável e o outro não. A diferença que importa em 14 de agosto é qual deles chega sozinho: o auto mode é o que passa a ser o modo inicial de todo mundo em Pro, Max e Team, e o bypass continua sendo algo que você precisa buscar deliberadamente.

Há um detalhe que torna a diferença concreta em vez de filosófica: iniciar um laço autônomo de agente que roda sem aprovação humana e sem sandbox, com o --dangerously-skip-permissions citado na documentação como o exemplo, está ele próprio na lista de bloqueios do auto mode. O auto mode impede o Claude de iniciar justamente aquilo que pula as permissões. Entrar no auto mode também derruba regras amplas de permissão que concedem execução arbitrária de código, incluindo o Bash(*) geral, interpretadores com curinga como Bash(python*) e comandos de execução de gerenciador de pacotes, enquanto regras estreitas como Bash(npm test) seguem valendo. As regras derrubadas voltam quando você sai do modo. Essa dúvida está sendo feita em público agora: uma thread intitulada simplesmente "Dangerously skip permissions" foi publicada no r/ClaudeAI em 10 de agosto de 2026, e outra intitulada "Sandboxing & Powerusers: How to maintain productivity without losing security?" em 6 de agosto de 2026.

Como manter a aprovação manual no Claude Code depois de 14 de agosto?

Defina o padrão você mesmo, no arquivo certo. O modo Manual é o que revisa toda ação, ele aparece com o rótulo Manual na CLI e nas interfaces de VS Code, JetBrains e aplicativo de mesa, e o valor de configuração dele é default, com manual aceito como apelido a partir da versão 2.1.200 do Claude Code. Colocar {"permissions": {"defaultMode": "manual"}} no seu arquivo de configuração de usuário, em ~/.claude/settings.json, é o que faz as sessões novas continuarem começando ali, e a documentação é explícita ao dizer que um padrão definido por você sobrevive à virada de 14 de agosto a menos que você aceite o aviso único.

No meio da sessão, apertar Shift+Tab circula pelos modos e a barra de estado mostra qual está ativo, com o Manual exibido como um selo cinza manual mode on. Uma assimetria vale ser conhecida por quem administra máquinas: o defaultMode: "auto" é ignorado quando aparece no .claude/settings.json ou no .claude/settings.local.json de um projeto, e isso é deliberado, para que um repositório que você clona não consiga conceder auto mode a si mesmo. Ele só vale vindo das suas configurações de usuário. Em planos Team e Enterprise, um administrador pode remover o modo por completo definindo permissions.disableAutoMode como disable nas configurações geridas.

Dá para impedir que o Claude Code leia os seus arquivos de segredo?

Essa é a pergunta que um desenvolvedor levou ao r/ClaudeCode em 10 de agosto de 2026 sob o título "Do you block Claude Code from reading your secrets files?", e a documentação responde de um jeito que surpreende nas duas direções. Ler o .env e mandar aquelas credenciais para a API correspondente está na lista de permitidos, então o auto mode não vai impedir. Mas imprimir uma credencial viva na transcrição ou em arquivo é bloqueado, e a partir da versão 2.1.203 conteúdo vindo de um depósito local sensível, ou de um arquivo cujo nome, caminho ou tipo o marque como sensível, fica bloqueado de entrar em um commit, um push, texto de pull request ou de issue, um gist ou uma publicação de pacote, a menos que você tenha nomeado a origem e o destino. Transcrições de sessão, chaves SSH, pastas de credencial de nuvem, perfis de navegador e histórico de shell contam todos, e o repositório ser privado não libera o bloqueio.

Se você quer garantia dura em vez de julgamento de classificador, o instrumento documentado é uma regra de negação. Regras em permissions.deny valem em todos os modos, inclusive no bypassPermissions, e nenhuma configuração de modo passa por cima delas. A mesma página faz um ponto relacionado que é fácil de errar: um limite que você declara na conversa, como dizer ao Claude para não dar push, é tratado pelo classificador como sinal de bloqueio e continua valendo até você levantá-lo, mas ele não é guardado como regra. O classificador relê aquilo da transcrição a cada verificação, então a compactação de contexto removendo aquela mensagem pode perder o limite. Um limite do qual você realmente depende pertence a uma regra de negação, não a uma frase.

O que acontece quando o classificador bloqueia demais?

O Claude Code tem um recuo documentado, e conhecer os números evita achar que a ferramenta quebrou. Se o classificador bloquear uma ação três vezes seguidas, ou vinte vezes no total, o auto mode pausa e o Claude Code volta a pedir aprovação. Aprovar a ação que ele perguntou retoma o auto mode. Esses limiares não são configuráveis. Qualquer ação permitida zera o contador de seguidas, enquanto o contador total persiste pela sessão. Em execuções não interativas com a flag -p não há ninguém para perguntar, então bloqueios repetidos abortam a sessão.

Cada ação negada mostra uma notificação e cai no /permissions, numa aba de negadas recentemente, onde apertar r tenta de novo com aprovação manual. Vale ajustar a expectativa num ponto: na maioria das sessões, a partir da versão 2.1.208, o motivo que o Claude recebe é o texto fixo Blocked by classifier em vez de uma explicação escrita, então o agente nem sempre consegue dizer a você por que foi impedido. A documentação lê bloqueio repetido como falta de contexto do classificador sobre a sua infraestrutura, e aponta os administradores para as entradas de repositório, bucket e serviço confiáveis, para corrigir na origem.

O que isso muda para quem roda vários agentes de IA ao mesmo tempo?

Muda o formato da sua atenção, que é a parte sobre a qual ninguém avisa. Um pedido de permissão é uma interrupção, mas é também um ponto de conferência, e ele chega por agente. Tire os pedidos de rotina de quatro sessões ao mesmo tempo e as quatro correm mais longe antes de você olhar para qualquer uma delas. Esse é o propósito do modo e é também o risco novo: o trabalho entre pontos de conferência ficou mais longo, então a revisão tem de absorver o que a aprovação pegava. O nosso guia de como revisar código escrito por vários agentes de IA defende começar pelo que a mudança não deveria ter tocado, e esse hábito fica mais valioso, não menos, quando as aprovações param de chegar.

Dois comportamentos documentados importam especificamente para trabalho com vários agentes. Subagentes são conferidos pelo classificador em três pontos, antes de o subagente começar, em cada ação dele, e de novo no histórico completo de ações quando ele termina, e um permissionMode declarado no frontmatter de um subagente é ignorado, de modo que um subagente não consegue afrouxar as regras a que a sessão principal está submetida. E o auto mode empurra o Claude a seguir trabalhando em vez de parar para fazer perguntas de esclarecimento, o que se acumula entre sessões paralelas. O CanvasCode, o app de Mac que roda as CLIs oficiais de agente lado a lado num canvas só, é feito exatamente para esse arranjo, e a nossa leitura honesta é que a virada torna uma visão de estado por agente mais útil do que a contagem de avisos jamais foi.

Duas limitações que não vamos disfarçar. Primeira, a própria documentação da Anthropic traz um aviso de que o auto mode reduz pedidos de permissão mas não garante segurança, e recomenda usá-lo em tarefas cuja direção geral você confia, e não como substituto de revisão em operações sensíveis, o que é ressalva do fabricante, não de um cético. Segunda, tudo o que está acima descreve regras publicadas e lidas em 11 de agosto de 2026, três dias antes de a virada valer, e nós não medimos como o classificador se comporta ao longo de uma semana de trabalho num repositório real, inclusive com que frequência ele produz um bloqueio falso. Em planos Enterprise e em contas de API, Claude Platform on AWS, Amazon Bedrock, Google Cloud's Agent Platform e Microsoft Foundry, as chamadas de classificador contam sim para o uso de tokens, ao contrário de Pro, Max e Team. Se o seu motivo para se importar com o peso da sessão é custo, a nossa nota sobre quando usar /clear em vez de /compact cobre esse lado.