Claude Codeが自動モード既定へ 週末メモ8/3週

こんにちは、ジャベ雄です

週末恒例のClaude＆Anthropic情報まとめ、第10弾です
今週の主役は 8月14日から始まるClaude Codeの自動モード既定化 で、前回(2026/7/27週)が点検の週だったのに続いて、今週は権限の週になりました

並んだ話題はばらばらに見えて、じつは1本の筋で繋がっています
読ませた文章のなかに指示が仕込まれていて、Claudeが利用者の権限のまま動いてしまう、という筋です
判定を分類器にゆだねる自動モードも、承認ダイアログの不具合も、メールの要約で発火する攻撃も、同じところを向いています

• 8月14日からClaude Codeの新規セッションが自動モードで始まる
• Coworkの5時間枠2倍は8月19日まで延長されていた
• Claude Codeが4日連続でリリース、権限の抜け道つぶしが続く
• メールを要約させるだけで動くゼロクリック攻撃がBlack Hatで公表
• Fable 5の生物学セーフガードが改善、勝手なモデル切替が約85%減
• 期限の答え合わせ、Opus 4.1は予定どおり退役
• そのほか、6月に直っていた穴の詳細公表とココナラ for Claude

この記事は2026年8月8日時点の公開情報をもとにしています
Claude Codeを毎日回していない方でも①だけは目を通しておくと後で戸惑わずに済みます
Claudeをこれから触る方は Claudeの使い方(初心者向け) もあわせてどうぞ

8月14日からClaude Codeの新規セッションが自動モードで始まります

Anthropicが8月7日に、公式ブログとドキュメントの両方で告知しました
中身は一行で、8月14日からPro・Max・Teamの新規セッションが自動モードで起動します
公開情報にタイムゾーンの記載が無いので、ここでは8月14日から、とだけ書いておきます

自動モード(auto mode)は、確認なしで実行される範囲が既定で「すべて」になり、危ない操作は裏で分類器が止める仕組みです
判定役は既定でClaude Sonnet 5が務めます
今回の告知にあわせて、この判定に使われるトークンぶんの料金は Pro・Max・Teamでは請求されなくなりました

自分で既定を決めている人は変わりません

全員が切り替わるわけではありません
公式ドキュメントは 自分で既定を設定してあるならそのまま維持される と書いています(一度だけ出る切り替えの確認に同意した場合は別です)
管理者が既定を配っている場合も、その設定が優先されます

対象の外にいる人もいます
古いモデル(Sonnet 4.5・Opus 4.5・Haiku系・claude-3系など)は自動モードに対応していません
Enterpriseやクラウド経由の利用も当面これまでどおりで、自分で選んだときだけ有効になります

安全になったから既定になる、という話ではありません

ここは読み違えると危ないところです
Anthropicは公式ブログとドキュメントの2か所で、分類の仕組みに頼っている以上リスクが消えるわけではない と書いています
減るのは確認の回数であって、危ない操作がゼロになるという意味ではありません

仕組み上の歯止めもいくつか用意されています
分類器が3回続けて、または通算20回ブロックすると自動モードは一時停止して、通常の確認に戻ります
自動モードのあいだは Bash(*) のような広すぎる許可ルールが自動で外れます
一方で、既定で許可される側には .env を読んで対応するAPIへ送る動作 も入っています

判定の材料も限定されています
分類器が見るのは利用者のメッセージ・ツール呼び出し・CLAUDE.mdの3つだけで、ツールの実行結果は取り除かれます
ファイルやWebページに仕込まれた文章が、判定を直接いじれないようにする作りです

そのうえで、今週いちばん持ち帰ってほしいのはここです
会話やCLAUDE.mdで伝えた境界も分類器は読んでいて、いったんは効きます
ただしルールとして保存されないので、文脈が圧縮されて元の発言が消えると一緒に失われます
だから 確実に止めたい操作は permissions.deny に書く というのが公式の言い方でした

これは私がこれまで書いてきた話と同じ結論です
頼みごとで止めるのではなく設定側で塞ぐ、という整理になります

8月14日までにやっておくこと

Coworkの使用枠2倍は8月19日まで延長されていました

前号で、Coworkの5時間ごとの使用枠2倍は8月5日で終わると書きました
その後に公式ヘルプが更新されて、2倍の枠は8月19日まで延長されています
ヘルプの原文も「延長した」という書き方なので、前号の時点の情報が古くなった形です

終わりは米国太平洋時間(PT)の8月19日23時59分で、日本時間に直すと8月20日の16時ごろです(こちらでの換算です)
2倍になるのは 5時間ごとの枠だけ で、週次の上限は変わりません
対象はPro・Max・Teamなどで、無料プランは対象外です
申し込みも要りません

同じ8月19日にClaude Codeの50%増しも終わります

Claude Codeのプロモも同じ日で終わります
週次の使用上限50%増し は5月13日から8月19日までで、前号で書いた8月19日から変わっていません
Coworkは5時間枠だけ・Claude Codeは週次だけと、増えている側が逆になっています

期限	終わるもの	関係する人
8月17日	旧Workbenchと実験的なプロンプトAPI3本	Consoleにプロンプトや評価を溜めている人
8月19日	Coworkの5時間枠2倍	Coworkを使うPro・Max・Teamなど
8月19日	Claude Codeの週次上限50%増し	Claude Codeを使うPro・Max・Teamなど
8月31日	Sonnet 5の導入価格($2/$10)	APIでSonnet 5を使っている人

旧Workbenchは8月17日で終わります
保存したプロンプト・評価・プロンプト共有は新しいWorkbenchへ引き継がれないので、その日までにエクスポートが要ります
Sonnet 5のほうはAPIの従量課金の話で、9月1日から標準価格の $3/$15 になります

Claude Codeが4日連続でリリース、権限の抜け道つぶしが続きます

日本時間の8月5日から8日にかけて、Claude Codeが5本更新されました
版は v2.1.222 から v2.1.226 までで、並んでいるのは新機能よりも 権限まわりの穴をふさぐ修正 です

いちばん分かりやすいのは8月6日の修正でした
承認ダイアログに出ている文字列が、実行されるコマンドの全部とは限らなかった という話です
タブや目に見えないUnicode文字を混ぜると、コマンドの一部を隠せていました
権限チェックから自分の一部を隠す抜け道も、同じ版でふさがれています

• v2.1.222(8月5日)…worktreeで切り離したセッションやサブエージェントが、本体のチェックアウトを壊しかねないgitコマンドを実行できた不具合を修正 / PreToolUseの自動許可フックが、要約や圧縮といった裏側の処理でツール制限を回避できた不具合も修正 / ultraplan機能は削除
• v2.1.223(8月6日)…承認ダイアログの隠し文字とコマンドの権限バイパスを修正 / ワークフロースクリプトが動的な読み込みでサンドボックスの外を実行できた問題 / エージェント定義側の設定が組織のバイパス禁止を無視できた問題も修正
• v2.1.224(8月7日)…サンドボックスの拒否リストに末尾スラッシュ付きのパス(例 ~/.aws/)を書くと、LinuxとmacOSで黙って回避できた不具合を修正
• v2.1.225・v2.1.226(8月8日)…未信頼のフォルダで claude agents を動かすときに確認を出すよう変更 / 自動モードが自分の安全フィルタによる拒否まで連続ブロックの回数に数えていた不具合を修正 / 226は不具合修正のみ

なお、この一連の修正についてGitHub上ではセキュリティアドバイザリが出ていません
末尾スラッシュの件はサンドボックスの拒否設定(sandbox.filesystem.denyRead / denyWrite)の話で、対象はLinuxとmacOSです
ネイティブのWindowsはサンドボックス自体が非対応なので、WSL2で動かしている方だけ書き方を見直してください

エージェント型ブラウザ横断のゼロクリック攻撃がBlack Hatで公表されました

セキュリティ企業のZenity Labsが、8月5日に「PleaseFix」という脆弱性クラスを公表しました
先に断っておくと、これはClaude固有の欠陥ではありません
複数のエージェント型ブラウザにまたがる設計上の問題で、名前が挙がっているのは Claude in Chrome・Gemini in Chrome・Perplexity Comet・ChatGPT Atlas・Copilot Edge の5製品です

手口は「意図の衝突(Intent Collision)」と呼ばれています
メール・カレンダーの招待・Webページに仕込まれた文章を、エージェントが利用者自身の依頼の一部だと取り違えます
そのまま利用者のログイン状態と権限で実行してしまう、という筋です

報じられた流れはこうでした
細工されたメールが受信箱に届いている状態で、利用者が「最近のメールを要約して」と頼むと発火します
認証済みのブラウザセッションで悪意あるスクリプトが動き、Gmailの中身が持ち出される、という流れです
発火のきっかけがごく普通の依頼になっているところが、この攻撃クラスの厄介な点です

Zenityは2025年12月と2026年1月にAnthropicへ報告してinformative(参考情報)に分類されたと報じられていますが、この件についてAnthropicが出した文書は今週調べた範囲では見つかりませんでした
Claude in Chromeの公式ヘルプはサイトごとの権限設定を案内したうえで、リスクはゼロではない・想定していない新手の攻撃は現れうる とも書いています

Fable 5の生物学セーフガードが改善、勝手なモデル切替が約85%減りました

8月7日にAnthropicが出したニュースです
健康や生物の話をすると回答が急に浅くなる、と感じたことがあるなら、その原因にあたる話です

仕組みはこうです
Fable 5には生物学まわりの分類器があって、反応するとリクエストがOpus 5へ回されます(この回し直しをfallbackと呼びます)
Opus 5は生物学ではFable 5ほどの能力を持たないので、回答が薄くなることがありました

今回は分類器の判定基準を書き直して学習させ直したもので、Anthropic自身のテストでは 生物学に関するfallbackが約85%減った とされています
全体の見込みはclaude.aiで約67%・ほかは7〜55%です
85%は生物学ぶんの実測・67%などは生物学以外も含む全体の見込みなので、混ぜて読まないほうがいい数字です

体感が変わるのは検査値の読み解き・症状の理解・生物の勉強といった日常的な質問のほうです
Fable 5は一般提供されているなかではAnthropicのいちばん高性能なモデルです
MaxとTeamのプレミアム席はプランに標準で含まれますが、ProとTeamの標準席はプランの枠に入らず、使うには使用クレジットが要ります
Fable 5を使える側の方は、心当たりのある質問で8月7日以降に違いが出ているか試せます

期限の答え合わせ、Opus 4.1は予定どおり退役しました

前号で予告した8月5日の期限は、延期されずに実行されました
公式のリリースノートには、Claude Opus 4.1(claude-opus-4-1-20250805)の退役・このモデルへのリクエストはエラーになること・Opus 5への移行を勧めることが書かれています

とはいえ、どこからも消えたわけではありません
退役の日程が適用されるのはAnthropicが運営するプラットフォーム(Claude API・AWS上のClaude Platform・Microsoft Foundry)です
Amazon BedrockとGoogle Cloudは独自の日程 なので、そちら経由なら今も使えます

一覧表の日付は読み方に注意します

公式のモデル一覧には「Tentative retirement date」という列があります
入っている値は「Not sooner than October 15, 2026」のような書き方で、これより早くは退役しない日という意味です
退役の予定日ではないので、10月までは現役と読むのが正確です

ついでにHaiku 5の話も
8月8日の時点で公式のモデル一覧にHaiku 5はなく、Haikuの最新は4.5のままです
もうすぐ出るとも、もう出ないとも書ける材料が無いので、いまは一覧に無いというところまでです

障害は週の前半に集中しました

公式ステータスの記録では、世界標準時の8月3日から5日に合計7件のインシデントが起きています
公式が重大(Major)と判定したのは 4日夜の複数モデル横断のエラー増加 1件だけで、残りは軽微(Minor)でした
8月6日から8日は記録がありません

直近90日の稼働率は、8月8日時点でどれも99.3〜99.8%台です
急に応答が返らなくなったときは、自分の設定を触って壊す前に status.claude.com を見るのが早道になります

そのほか今週の動き

6月に直っていたClaude Codeの穴が、Black Hatで詳しく公表されました

セキュリティ企業のNovee SecurityがBlack Hatで公表した、CVE-2026-54316という番号の付いた件です
Claude CodeのWebFetchが huggingface.co をホスト名まるごと事前承認していたため、そのドメインのどのパスも確認なしで取得できていました
攻撃者が置いたページも読めるので、盗んだ情報を外へ運ぶ通り道になっていました

この研究はClaude Code・Gemini CLI・Codexの3製品を横断したもので、Claude Code だけの穴が見つかったわけではありません
3件のうちClaude Codeがいちばん対応の進んだ側で、Codexは番号も修正も出ていないと報じられています

ここは日付を押さえておけば混乱しません
修正は v2.1.163 で、脆弱性情報の公開も6月に終わっています
いま使っている版が 2.1.22x 台なら影響の範囲外なので、今回のBlack Hatでの発表は 詳細の公表であって新しい穴の話ではありません

ココナラがClaude向けのコネクタを出しました

8月5日に、株式会社ココナラが「ココナラ for Claude」の提供を始めました
Claudeの会話画面からココナラのサービスを検索・提案してもらえるコネクタで、チャット・Claude Code・Coworkで使えます
購入・見積り・決済はココナラ側で完結する作りです

対応プランの記載はプレスリリースに無いので、そこは設定画面を開いて確かめる形になります

短く3つ

• 企業向けが続いた…8月5日に推論フック(ベータ)、6日にスキルとプラグインのセキュリティスキャン(ベータ)で、どちらもEnterprise向けです / 同じ6日に公開ベータになった自前の計算資源でセッションを動かす仕組みはTeam・Enterprise向けです
• Python 3.15.0rc1が8月4日に公開…既定の文字コードがUTF-8になる変更が入り、正式版は10月1日の予定です(背景は Pythonの文字化けとUTF-8既定化 にまとめてあります)
• ExcelのCopilot同期コネクタが8月6日に一般提供…対象はMicrosoft 365 Copilotのライセンスを持つ法人で、個人向けの契約は対象外です

もうひとつ、今週は 一般利用者向けのclaude.aiの新機能が公式リリースノートに1件も載りませんでした
動いたのはClaude Codeと企業向けばかりで、今週の性格をよく表しています

今週のまとめ:気になった情報7点

今週(2026/8/3週)のClaude周りで気になった情報を7点に整理しました

今週の話は、便利さと引き換えに何を自分で決めるか、という一点に集まりました
自動モードは怖いから止めよう、という話ではなく、どのフォルダでどちら側の使い方をするかを8月14日までに決めておく話として読んでもらえればと思います
モデル名や用語で迷ったら Claude用語集(初心者向け) が整理の役に立ちます

今日やるなら3つです
Claude Codeの既定モードを確認する・確実に止めたい操作を permissions.deny に書く・8月19日の期限が自分に関係するか確かめる、この順で足ります

次回のお知らせ

次回は、8月14日を過ぎて自動モードの体感がどう変わるか、17日と19日の期限が予定どおり実行されるかを追いかけます
「今週これ気になったよ」という話題があれば、次週分で拾ってみます
ではまた来週末に

---

※本記事の情報は2026/8/8時点の公開情報・主要報道をもとにしています
8月14日の自動モード既定化はこの時点では予告で、適用開始のタイムゾーンは公開情報に記載がありません
PleaseFixの件は第三者の研究発表と報道にもとづくので、正確な条件は公式発表やHelp Centerをご確認ください