Claude Code lancia la modalità Auto: addio ai permessi manuali per gli agenti AI

Claude Code Auto mode è la nuova modalità di permessi lanciata da Anthropic il 24 marzo 2026 che consente all’agente di coding AI di eseguire operazioni (scrittura file, comandi bash, push di codice) senza chiedere approvazione manuale per ogni singola azione.

Fino a qualche giorno fa, gli sviluppatori che volevano lavorare in autonomia con Claude Code avevano due opzioni: cliccare “Yes” decine di volte per sessione o usare il temuto flag --dangerously-skip-permissions, che disattivava ogni controllo. Auto mode introduce una terza via: un classificatore di sicurezza che valuta ogni azione prima che venga eseguita, bloccando solo quelle potenzialmente distruttive.

In questo articolo scoprirai:

• Come funziona il classificatore di sicurezza di Auto mode e quali azioni blocca
• Come abilitare Auto mode da CLI, desktop e VS Code
• Come personalizzare i filtri con environment, allow e soft_deny
• Perché Auto mode è un passo avanti concreto rispetto a --dangerously-skip-permissions
• I limiti riconosciuti da Anthropic e le critiche della community

Il problema: troppi permessi manuali (o zero controlli)

Chiunque abbia usato Claude Code conosce il loop: scrivi un prompt, l’agente propone una modifica, ti chiede il permesso. Approvi. Propone un comando bash, ti chiede il permesso. Approvi di nuovo.

Per task complessi, refactoring su più file, setup di pipeline CI, migrazione di dipendenze, questo ciclo si ripete decine di volte in una singola sessione. Come ha riportato 9to5Mac, è un design conservativo e intenzionale, ma rende impossibile lanciare una task e allontanarsi dal computer.

La risposta di molti sviluppatori è stata il flag --dangerously-skip-permissions (oggi rinominato bypassPermissions), che elimina tutti i prompt di conferma. Il nome stesso suggerisce il rischio: senza nessun controllo, Claude potrebbe cancellare file critici, eseguire comandi distruttivi o inviare dati sensibili all’esterno. Anthropic ha sempre raccomandato di usare questo flag esclusivamente in ambienti isolati come container o VM.

Se vuoi approfondire tutte le funzionalità di Claude, dai modelli alle applicazioni pratiche, la nostra guida completa a Claude AI è il punto di partenza ideale.

Come funziona Auto mode: il classificatore in dettaglio

Auto mode si posiziona esattamente a metà tra il sistema di permessi conservativo e l’assenza totale di controlli. Secondo la documentazione ufficiale Anthropic, prima che ogni tool call venga eseguita, un modello classificatore separato analizza la conversazione e l’azione proposta per determinare se è sicura.

In pratica, il flusso è questo:

1. Claude propone un’azione – ad esempio rm -rf node_modules && npm install
2. Il classificatore la valuta – verifica se rientra nelle categorie di rischio: cancellazione massiva di file, esfiltrazione di dati sensibili, esecuzione di codice malevolo
3. Se sicura, procede automaticamente — nessun prompt per l’utente
4. Se rischiosa, blocca e reindirizza — Claude viene istruito a trovare un approccio alternativo
5. Se Claude insiste su azioni bloccate — dopo ripetuti tentativi, viene mostrato un prompt di permesso all’utente

Il classificatore gira su Claude Sonnet 4.6, anche se la sessione principale usa un modello diverso come Claude Opus 4.6. Questo significa un impatto minimo su latenza e costi, mantenendo comunque un livello di ragionamento sufficiente per valutare la sicurezza delle azioni.

Il modello di trust

Di default, il classificatore considera “fidati” solo due elementi:

• La directory di lavoro corrente
• I remote del repository git corrente (se presente)

Tutto il resto, sistemi di source control aziendali, bucket cloud, servizi interni, API esterne, viene trattato come infrastruttura esterna non fidata fino a configurazione esplicita. Un push verso il GitHub della tua azienda, ad esempio, potrebbe essere bloccato come potenziale esfiltrazione di dati se il classificatore non sa che quel remote è legittimo. La connessione standardizzata di un agente a questi strumenti e servizi esterni è proprio il compito del Model Context Protocol (MCP).

User intent: quando l’utente ha l’ultima parola

Un meccanismo interessante è il riconoscimento dell’intento esplicito dell’utente. Se il messaggio descrive specificamente e direttamente l’azione che Claude sta per compiere, il classificatore il lascia passare anche se una regola soft_deny la bloccherebbe normalmente.

Attenzione però: richieste generiche non contano. Chiedere “pulisci il repo” non autorizza un force-push, ma chiedere “fai un force-push di questo branch” sì.

Come abilitare Auto mode

Auto mode è disponibile come research preview per gli utenti del piano Team, con rollout in arrivo per Enterprise e API. Ecco come attivarlo nelle diverse interfacce:

Da CLI

claude --enable-auto-mode

Una volta abilitato, puoi ciclare tra le modalità di permesso con Shift+Tab durante la sessione.

Da Desktop e VS Code

Vai in Settings → Claude Code, attiva Auto mode, quindi selezionalo dal menu a tendina della modalità di permesso nella sessione attiva.

Per gli amministratori

Se vuoi impedire l’uso di Auto mode nella tua organizzazione, imposta "disableAutoMode": "disable" nei managed settings. Sull’app desktop, Auto mode è disabilitato di default.

Personalizzare i filtri: environment, allow e soft_deny

La vera potenza di Auto mode emerge nella personalizzazione. La configurazione si basa su tre blocchi principali all’interno dell’oggetto autoMode nei settings, come dettagliato nella documentazione ufficiale dei permessi di Claude Code.

1. Environment: definire l’infrastruttura fidata

Per la maggior parte delle organizzazioni, questo è l’unico campo da configurare. Dice al classificatore quali risorse sono “interne” e quindi fidate:

{
  "autoMode": {
    "environment": [
      "Organization: Acme Corp. Primary use: software development",
      "Source control: github.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts",
      "Trusted internal domains: *.internal.acme.com",
      "Key internal services: Jenkins at ci.acme.com"
    ]
  }
}

Le entry sono in linguaggio naturale, non regex o pattern. Il classificatore le legge come regole descrittive: scrivi come spiegheresti la tua infrastruttura a un nuovo ingegnere del team.

2. Soft_deny: cosa bloccare

Le regole soft_deny definiscono le azioni che il classificatore deve bloccare. I default includono protezioni contro force-push, cancellazione massiva, deploy in produzione, pipe di script remoti (curl | bash) e molto altro. Attenzione critica: impostare soft_deny con anche una sola entry sostituisce l’intera lista di default.

Per personalizzare in sicurezza:

# Prima: esporta i default
claude auto-mode defaults

# Poi: copia la lista, modifica, e incolla nei settings

3. Allow: le eccezioni

Le entry allow funzionano come eccezioni alle regole di blocco. Se il tuo team fa deploy su staging regolarmente e questa azione viene bloccata, puoi aggiungere:

{
  "autoMode": {
    "allow": [
      "Deploying to staging namespace is allowed: isolated from production, resets nightly"
    ]
  }
}

Comandi utili per la configurazione

Anthropic fornisce tre comandi CLI per gestire la configurazione:

• claude auto-mode defaults — mostra le regole built-in di environment, allow e soft_deny
• claude auto-mode config — mostra la configurazione effettiva (i tuoi settings dove impostati, i default altrove)
• claude auto-mode critique — un’AI review delle tue regole personalizzate che segnala entry ambigue, ridondanti o problematiche

Auto mode vs dangerously-skip-permissions: confronto diretto

Per capire il salto qualitativo, ecco un confronto pratico tra le tre modalità disponibili:

Il vantaggio è chiaro: Auto mode consente workflow asincroni, lanci un refactoring complesso, vai a pranzo, trovi il lavoro completato, senza il rischio di azioni distruttive non controllate.

Per chi sviluppa con modelli come Claude Sonnet 4.6 o Opus 4.5 e successivi, è un cambio di paradigma nella produttività.

Limiti e critiche: cosa Auto mode non risolve

Anthropic stessa riconosce che Auto mode “riduce il rischio rispetto a --dangerously-skip-permissions ma non lo elimina completamente”. I limiti principali sono concreti.

Il classificatore potrebbe permettere azioni rischiose se l’intento dell’utente è ambiguo o se Claude non ha sufficiente contesto sull’ambiente. Allo stesso tempo, potrebbe bloccare azioni innocue generando falsi positivi che rallentano il workflow.

Un punto sollevato dagli analisti di sicurezza riguarda la supply chain: la lista di default include pip install -r requirements.txt tra le azioni permesse, il che non protegge da attacchi con dipendenze non pinnate. Come ha osservato Simon Willison, ricercatore di sicurezza molto seguito nella community: “Voglio ancora che i miei agenti di coding girino in una sandbox robusta di default, una che restringa l’accesso ai file e le connessioni di rete in modo deterministico. Mi fido molto più di quelle che di protezioni basate su prompt come questo nuovo Auto mode.”

Il punto di Willison è rilevante: un classificatore basato su LLM, per quanto sofisticato, resta una protezione probabilistica, non deterministica. Un sandbox a livello di sistema operativo che blocca l’accesso a directory specifiche o connessioni di rete non autorizzate offre garanzie più forti. La buona notizia è che Anthropic offre anche il sandboxing OS-level come layer complementare: le due protezioni possono (e dovrebbero) essere usate insieme per una difesa in profondità.

Per un quadro più ampio sulle questioni etiche e di sicurezza legate allo sviluppo di Claude, vale la pena leggere come Anthropic affronta l’etica dell’AI attraverso il lavoro della filosofa Amanda Askell.

Cosa significa per il futuro degli agenti di coding

Auto mode si inserisce in un trend più ampio: gli agenti AI stanno passando da strumenti che eseguono singole istruzioni a sistemi semi-autonomi che gestiscono workflow complessi con supervisione minima. Il fatto che Anthropic abbia scelto un approccio basato su classificatore piuttosto che su regole statiche è significativo: suggerisce una direzione in cui la sicurezza degli agenti viene gestita da altri modelli AI, non solo da policy rigide.

Anche la concorrenza si muove in questa direzione. GPT-5.3-Codex di OpenAI e altri tool di coding agentici stanno esplorando approcci simili per bilanciare autonomia e sicurezza. La differenza di Claude Code è nella trasparenza della configurazione: i tre comandi CLI (defaults, config, critique) e il sistema di regole in linguaggio naturale rendono il classificatore ispezionabile e personalizzabile, un aspetto fondamentale per l’adozione enterprise.

Per le organizzazioni che stanno valutando l’impatto dell’AI generativa sul proprio ROI, l’efficienza guadagnata con Auto mode, meno interruzioni, task più lunghi completati senza supervisione,  è un dato concreto da inserire nell’equazione.

Come abbiamo analizzato nella nostra guida, se l’AI generativa non genera ROI, il problema spesso non è la tecnologia ma come viene integrata nei workflow esistenti.

Da dove partire con Auto mode

Se sei su un piano Team e vuoi provare Auto mode oggi:

1. Aggiorna Claude Code all’ultima versione
2. Esegui claude --enable-auto-mode
3. Usa Shift+Tab per passare alla modalità Auto nella sessione
4. Esegui claude auto-mode defaults per esaminare le regole di default
5. Aggiungi la tua infrastruttura fidata nel blocco environment
6. Testa su un task medio — un refactoring su 5-10 file — e osserva quali azioni vengono approvate automaticamente e quali bloccate

Auto mode non è una soluzione perfetta, ma è un passo avanti significativo rispetto alla scelta binaria tra “clicca Yes 47 volte” e “disattiva tutto”. Per la prima volta, gli sviluppatori hanno un modo pratico e configurabile per lasciare che il proprio agente AI lavori in autonomia, mantenendo guardrail che proteggono da errori costosi.

Verso un’automazione senza frizioni: il ruolo di Mimír

Il mondo si muove velocemente verso un’automazione sempre più spinta per tutte quelle attività che non richiedono un intervento umano costante. Se strumenti come Claude Code (Auto mode) stanno rivoluzionando il modo di programmare offrendo autonomia agli sviluppatori, le aziende devono adottare la stessa filosofia per scalare il proprio business.

Per permettere ai professionisti di abbandonare l’operatività ripetitiva e focalizzarsi su mansioni ad alto valore strategico, servono partner digitali affidabili. Mimír AI Agent nasce esattamente per questo: scrivere il futuro della tua produttività.

Dalla gestione autonoma della Customer Care (pre e post vendita) all’automazione dei processi interni, fino alla rielaborazione istantanea dei dati per ottenere insight strategici e al controllo dei cataloghi direttamente in chat, Mimír AI Agent agisce al posto tuo. È l’ingranaggio che rende scalabile la tua visione, trasformando la complessità in efficienza quotidiana.

Vuoi vedere come Mimír AI Agent può trasformare il tuo modo di lavorare?

Lo stesso paradigma agentico sta arrivando in azienda: ecco cosa sono gli agenti AI per le imprese e perché sono strategici.

Fonti:

• Auto Mode for Claude Code, Anthropic, 24 marzo 2026
• Permissions – Claude Code Documentation, Anthropic, 2026
• Claude Code gives developers Auto mode, a safer alternative to skipping permissions, 9to5Mac, 24 marzo 2026
• Auto mode for Claude Code, Simon Willison, 24 marzo 2026