מצב אוטומטי לא מכיר את התשתית שלכם: מה כדאי להגדיר עכשיו

מ-14 באוגוסט 2026 מצב אוטומטי הוא ברירת המחדל לשיחות חדשות בקלוד קוד. רוב הכתיבה על השינוי עוסקת במה המסווג חוסם. הדבר שבאמת יטריד אתכם בשבוע הראשון הוא אחר: המסווג כמעט לא יודע דבר על הסביבה שלכם.

כברירת מחדל הוא סומך על שני דברים בלבד — תיקיית העבודה וה-remotes המוגדרים של המאגר הנוכחי. ארגון ה-GitHub של החברה, ה-bucket המשותף של הצוות, ה-registry הפנימי, שרת ה-CI: כל אלה נחשבים יעד חיצוני, כלומר יעד אפשרי לדליפת מידע, עד שתגידו אחרת. פעולה פנימית שגרתית לגמרי נחסמת, וזה נראה כמו תקלה.

התגובה המתבקשת היא לכבות את המצב. התגובה הנכונה היא לתאר לו איפה אתם גרים.

איפה כותבים את גבול האמון

הגדרת ‎autoMode.environment‎ היא השדה היחיד שרוב הארגונים באמת צריכים. הערכים בה אינם ביטויים רגולריים ואינם תבניות כלים — הם פרוזה. המסווג קורא אותם כמו שמסבירים תשתית למהנדס חדש ביום הראשון:

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts",
      "Trusted internal domains: *.corp.example.com",
      "Key internal services: Jenkins at ci.example.com"
    ]
  }
}

וכאן המלכודת הראשונה, והיא תפיל הרבה אנשים: המסווג אינו קורא את ‎autoMode‎ מהגדרות הפרויקט. לא מ-.claude/settings.json ולא מ-.claude/settings.local.json. מי שישים את הבלוק הזה בתוך המאגר יקבל בדיוק כלום, בלי הודעת שגיאה.

הסיבה הגיונית ברגע שעוצרים עליה: שני הקבצים יושבים בתוך תיקיית המאגר, ולכן מאגר שהורד מבחוץ או שלב build היו יכולים להזריק לעצמם כללי אמון. המקומות שכן נקראים הם קובץ ההגדרות האישי ~/.claude/settings.json, ההגדרות המנוהלות של הארגון, והדגל ‎—settings‎ להרצה בודדת.

מה שכן נקרא מהפרויקט הוא CLAUDE.md. המסווג קורא את אותו קובץ שקלוד עצמו טוען, כך שמשפט כמו “אין לבצע דחיפה כפויה” מכוון את שניהם במכה אחת.

ארבע רשימות, וסדר קדימות ששווה להכיר

מעבר ל-‎environment‎ יש שלוש רשימות שמחליפות את כללי המסווג המובנים, והן נבדקות בסדר קבוע:

‎hard_deny‎: חוסם ללא תנאי. לא כוונה מפורשת שלכם ולא חריג ב-‎allow‎ מבטלים אותו
‎soft_deny‎: חוסם פעולות הרסניות, אבל אפשר לנקות אותו
‎allow‎: חריגים שמבטלים כלל ‎soft_deny‎ תואם
כוונה מפורשת בשיחה: מנקה את יתר החסימות הרכות, ורק כשהיא מדויקת. “תסדר לי את המאגר” אינו אישור לדחיפה כפויה; “תדחוף בכוח את הענף הזה” כן

המלכודת השנייה חבויה בדוגמה למעלה, במחרוזת ‎“$defaults”‎. היא אינה קישוט: היא המקום שאליו נשתלים הכללים המובנים. רשימה שנכתבת בלעדיה מחליפה את כל הרשימה המובנית לאותו סעיף. מי שיוסיף ‎soft_deny‎ אחד משלו בלי השורה הזאת ימחק בדרך את החסימות של דחיפה כפויה, של curl | bash, של פריסה לפרודקשן ושל עקיפת מצב אוטומטי — ויקבל סביבה מתירנית בהרבה ממה שהתכוון, מתוך ניסיון להדק אותה.

מה דווקא מותר, וזה מפתיע

שווה לדעת לפני שמגדירים יותר מדי: מצב אוטומטי מתיר דחיפה לכל ענף של המאגר שעובדים בו, כולל ענף ברירת המחדל, ומתיר פתיחת PR. זה השתנה בגרסה 2.1.211; קודם לכן ההיתר היה מצומצם בהרבה.

מה שלא מכוסה בהיתר הזה: ענף ששמו מסמן יעד פריסה או פרסום, כמו production או gh-pages, נשפט לגופו. גם התוכן עצמו עדיין נבדק — דחיפה כפויה, סוד שנכנס ל-commit, או שינוי שיוציא סודות החוצה כשה-CI ירים אותו, נחסמים בכל מקרה.

מי שרוצה בכל זאת שער אנושי לפני כל דחיפה מוסיף כלל ‎ask‎, שנבדק לפני המסווג ומאלץ שאלה גם במצב אוטומטי. המתכונת המדויקת נמצאת באוטומציה בטוחה.

מה צוותים אמיתיים באמת מגדירים

Anthropic פרסמה ב-7 באוגוסט פוסט נפרד על הרצת המצב הזה בסביבת אמת, והחלק השימושי בו הוא לא המספרים אלא ההרגלים. שלוש דוגמאות מהשטח:

חסימה מוחלטת של הרסני: ב-Nuro מגדירים מחיקות רקורסיביות כחסומות ישירות בהגדרות, במקום להישען על שיקול דעת המסווג
חסימת פעולות שנוגעות באנשים: ב-Garner Health המצב מוגדר כך שלא יאשר פעולות שמתקשרות עם בני אדם — שליחת הודעות ב-Slack או מיילים
תעבורת MCP דרך פרוקסי מנוהל: ב-Gusto מנתבים אותה כך, עם בדיקת כלים ובחינת פרומפטים, לפני שהמסווג בכלל נכנס לתמונה

ומתי מכבים? התשובה מהפוסט חדה: כשהסשן נוגע בתשתית פרודקשן. Terraform, שינויים ב-AWS, קריאות POST ישירות מול API חי — שם עוברים חזרה למצב שמאשרים בו ידנית.

לגבי המספרים, כדאי לקרוא אותם כפי שנמדדו. Anthropic מדווחת שקלוד עובד פי תשעה יותר זמן בין הפסקות בהשוואה לברירת המחדל הקודמת, וזו מדידה שלה על הכלי שלה. הנתון המעניין יותר הגיע דווקא מצוות בשטח: ב-Gusto מצאו שכ-10% מתמלילי הסשנים מאמצע מאי 2026 כללו חסימה של מצב אוטומטי. כלומר המצב הזה עוצר דברים בפועל, ולא לעתים רחוקות.

איך בודקים מה באמת פעיל

שלוש פקודות, ואין תחליף להרצתן אחרי כל שינוי בהגדרות:

claude auto-mode defaults
claude auto-mode config
claude auto-mode critique

הראשונה מדפיסה את הכללים המובנים, השנייה את מה שהמסווג באמת משתמש בו אחרי שההגדרות שלכם הוחלו, והשלישית מבקשת ביקורת על הכללים שכתבתם ומסמנת ניסוחים עמומים או כאלה שיפילו התראות שווא. יש גם ‎claude auto-mode reset‎ שמוחק את הבלוק מקובץ ההגדרות האישי, מגרסה 2.1.212 ומעלה.

וכשפעולה נחסמת: היא נרשמת בלשונית Recently denied בתוך ‎/permissions‎. לחיצה על r מסמנת אותה לניסיון חוזר.

שורה תחתונה

מצב אוטומטי אינו מתג בטיחות שמדליקים ושוכחים, והוא גם לא משהו לכבות בהתקף עצבים בפעם הראשונה שהוא חוסם דחיפה לגיטימית. הוא מסווג שקורא תיאור של הסביבה שלכם — ואם לא כתבתם אותו, הוא עובד לפי ההנחה השמרנית ביותר.

הצעד המעשי: לפתוח את ~/.claude/settings.json, להוסיף בלוק ‎autoMode‎ עם ‎“$defaults”‎ ושתי-שלוש שורות שמתארות את ארגון הקוד והשירותים הפנימיים שלכם, ולהריץ ‎claude auto-mode config‎ כדי לוודא שזה נתפס. חמש דקות עכשיו חוסכות שבוע של חסימות שנראות כמו באג.

מכאן: מה בדיוק השתנה ב-14 באוגוסט, אישור ההרשאות אינו גבול אבטחה על השכבה שמערכת ההפעלה אוכפת, ואימות בקלוד קוד על הצד השני של ריצה לא מפוקחת — איך הסוכן יודע שהוא באמת סיים.