Claude Code auto mode instellen als standaard

Wat er op 14 augustus 2026 verandert in de auto mode

De auto mode van Claude Code voert tool calls uit zonder te stoppen voor bevestiging en stuurt elke actie eerst naar een apart classificatiemodel ter controle. Vanaf 14 augustus 2026 is dit de modus waarin nieuwe sessies starten voor Pro-, Max- en Team-abonnementen. U kunt op elk gewenst moment van modus wisselen en een standaardinstelling die u al voor uzelf heeft ingesteld, wordt niet overschreven.

De documentatie beschrijft de wijziging als volgt:

Vanaf 14 augustus 2026 wordt auto mode de standaardmachtigingsmodus voor nieuwe sessies bij Pro-, Max- en Team-abonnementen. U kunt op elk moment van modus wisselen. Een standaardinstelling die u zelf heeft ingesteld, blijft behouden tenzij u de eenmalige prompt voor overschakeling accepteert, en een standaardinstelling die uw organisatie beheert, blijft ongewijzigd.

Twee clausules daarin zijn belangrijker dan de datum. Een defaultMode die u in uw eigen instellingenbestand heeft vastgelegd, overleeft de wijziging. Een standaardinstelling die uw organisatie via beheerde instellingen uitrolt, blijft eveneens behouden. Het aankondigingsbericht voegt daaraan toe dat auto mode optioneel blijft voor Enterprise-abonnementen en voor accounts die tijdens het eerste deel van de uitrol de API gebruiken.

Als u Claude Code op een VPS (virtual private server) draait, is het de moeite waard om de wijziging te lezen voordat deze van kracht wordt. Een machtigingsprompt is een controlepunt waarvoor een persoon achter het toetsenbord nodig is. Op een externe machine bent u daar vaak niet aanwezig, waardoor de modus waarin een sessie start, de modus is waarin deze urenlang blijft draaien.

De Claude Code-toestemmingsmodi, van de meeste controle naar de minste

Er zijn zes modi. De naam aan het begin van elke regel is de waarde die u in de instellingen invoert of meegeeft aan --permission-mode.

• default: Claude vraagt toestemming voor elk nieuw gebruik van een tool. Lezen in uw werkmap gebeurt nog steeds zonder prompt. De CLI (command line interface) noemt deze modus Manual en accepteert manual als alias vanaf Claude Code v2.1.200.
• plan: Claude leest bestanden en voert commando's uit om te verkennen, maar wijzigt uw broncode niet. Bewerkingen blijven geblokkeerd totdat u het plan goedkeurt.
• acceptEdits: bestandswijzigingen worden uitgevoerd zonder prompt, evenals de bestandssysteemcommando's mkdir, touch, rm, rmdir, mv, cp en sed. Dit geldt alleen voor paden binnen uw werkmap of uw additionalDirectories. Elk ander shell-commando vereist nog steeds een prompt.
• auto: alles wordt uitgevoerd, waarbij de classifier elke actie vooraf controleert. Expliciete ask-regels dwingen nog steeds een prompt af.
• dontAsk: Claude Code weigert automatisch alles waarvoor u anders een prompt zou krijgen. Alleen uw allow-regels, de ingebouwde alleen-lezen Bash-commando's en aanroepen die een PreToolUse-hook goedkeurt, worden uitgevoerd. De sessie wacht nooit op invoer.
• bypassPermissions: prompts en veiligheidscontroles worden overgeslagen, inclusief schrijfacties naar beveiligde paden zoals .git en .claude.

Druk tijdens een sessie op Shift+Tab om te wisselen tussen default, acceptEdits en plan. De statusbalk toont waar u bent beland, zoals ⏵⏵ auto mode on of een grijze ⏸ manual mode on. De andere modi zitten standaard niet in die cyclus. auto wordt toegevoegd zodra uw account aan de vereisten voldoet. bypassPermissions wordt alleen toegevoegd wanneer de sessie is gestart met --permission-mode bypassPermissions of --dangerously-skip-permissions. dontAsk verschijnt daar nooit, dus stel deze in met claude --permission-mode dontAsk.

De automatische modus vereist ook een recent model; dit is de gebruikelijke reden waarom deze helemaal niet verschijnt. Sinds augustus 2026 vermeldt de documentatie Claude Opus 4.6 of nieuwer, Sonnet 4.6 of nieuwer, en Fable 5 op de Anthropic API. Oudere modellen zoals Sonnet 4.5 worden op geen enkele provider ondersteund. Als Claude Code meldt dat de automatische modus niet beschikbaar is, wordt aan een van deze vereisten niet voldaan. Het is geen tijdelijke storing, dus wachten lost het niet op.

Twee controles blijven in elke modus van kracht, inclusief bypassPermissions: deny-regels en expliciete ask-regels. Dat zijn de knoppen die u behoudt, ongeacht de modus waarin een sessie start.

Wat de auto mode classifier blokkeert

De classifier is een tweede model dat de geplande actie leest en besluit of deze overeenkomt met uw verzoek. De documentatie beschrijft de taak in één zin:

Een afzonderlijk classificatiemodel beoordeelt acties voordat ze worden uitgevoerd en blokkeert alles wat verder gaat dan uw verzoek, zich richt op onbekende infrastructuur of lijkt te zijn aangestuurd door vijandige inhoud die Claude heeft gelezen.

Standaard geblokkeerd, in de categorieën die een serverbeheerder het vaakst tegenkomt:

• Het downloaden en uitvoeren van code, zoals curl | bash
• Productiedeployments en migraties
• Force push
• Het wijzigen van gedeelde infrastructuur
• Het openen van een tunnel of reverse shell die een lokale service bereikbaar maakt vanaf het openbare internet
• Het afdrukken van een live inloggegeven of token in het transcript of een bestand

Standaard toegestaan:

• Lokale bestandsbewerkingen in uw werkmap
• Het installeren van dependencies die zijn gedeclareerd in uw lock-bestanden of manifesten
• Read-only HTTP-verzoeken
• Pushen naar elke branch van de repository waarin u werkt

Werk niet op basis van een samenvatting zoals hierboven. Voer claude auto-mode defaults uit om de volledige regellijsten als JSON af te drukken en lees de set die is meegeleverd met de versie die u heeft geïnstalleerd.

Twee gedocumenteerde limieten zijn van belang voordat u hierop vertrouwt. Ten eerste ziet de classifier uw berichten, de tool-aanroepen en uw CLAUDE.md-inhoud, en tool-resultaten worden verwijderd, dus tekst in een bestand of een webpagina die Claude heeft gelezen kan de classifier niet direct aanspreken. Ten tweede, wanneer de classifier een actie 3 keer achter elkaar of 20 keer in één sessie blokkeert, pauzeert de auto mode en keert Claude Code terug naar het vragen om uw input. Deze drempelwaarden zijn niet configureerbaar. In de niet-interactieve modus met de -p-vlag is er niemand om om input te vragen, dus herhaalde blokkades beëindigen de sessie in plaats daarvan.

Dat tweede gedrag is wat voor problemen zorgt op een externe server. Een onbeheerde run die de limiet overschrijdt, stopt en wacht op een persoon die niet naar de terminal kijkt. Het beperken van wat de agent probeert te doen is de andere helft van de oplossing, en een vaardigheid die de agent dwingt tot de kleinst mogelijke wijziging die werkt voorkomt dat een sessie afdwaalt naar de uitgebreide acties die de classifier stopt.

Waar de modi in settings.json staan

Alles hierboven is één object in een instellingenbestand.

{
  "permissions": {
    "defaultMode": "auto",
    "allow": [
      "Bash(npm run test *)",
      "Bash(git status)"
    ],
    "ask": [
      "Bash(git push *)",
      "Bash(docker compose up *)"
    ],
    "deny": [
      "Read(./.env)",
      "Read(./secrets/**)",
      "Bash(curl *)"
    ]
  }
}

Regels worden in volgorde geëvalueerd: weigeren, dan vragen, dan toestaan. De eerste overeenkomst in die volgorde bepaalt het resultaat; een specifiekere regel gaat niet voor op een bredere regel die eerder in de lijst staat. Een weigeringsregel voor Bash(aws *) blokkeert aws s3 ls, zelfs als u dat specifieke commando ook heeft toegestaan; een weigeringsregel kan dus geen uitzonderingen bevatten.

ask is het regeltype dat zijn waarde bewijst in de auto-modus. De auto-modus verwijdert de standaard prompt, en een ask-regel voegt er weer een toe voor het specifieke commando waarvoor u menselijke tussenkomst wenst. Uw deploy-commando hoort hier thuis. Dat geldt ook voor Bash(git push *) als u een controlepunt wilt voordat code de omgeving verlaat. Het bewaren van inloggegevens in deny is de andere helft hiervan, en dit gaat samen met het buiten bereik van een agent houden van inloggegevens.

De instellingenbestanden zelf, gerangschikt van laagste naar hoogste prioriteit:

• ~/.claude/settings.json: uw gebruikersinstellingen, toegepast in elk project.
• .claude/settings.json: projectinstellingen, gecommit naar de repository.
• .claude/settings.local.json: uw eigen instellingen voor één repository, genegeerd door git.
• Beheerde instellingen, uitgerold door een beheerder. Op Linux is dat bestand /etc/claude-code/managed-settings.json. Niets overschrijft een beheerde toegangsregel, inclusief een command-line flag.

Eén valkuil hier heeft een gedocumenteerde oorzaak. defaultMode: "auto" wordt genegeerd wanneer het afkomstig is uit .claude/settings.json of .claude/settings.local.json, vanaf Claude Code v2.1.142, zodat een repository zichzelf geen auto-modus kan toekennen door een instellingenbestand mee te leveren. Stelt u het daar in, dan start de sessie in default-modus zonder dat er ergens een foutmelding wordt getoond. Verplaats de regel naar ~/.claude/settings.json. Voer /permissions uit om elke actieve regel naast het bijbehorende bestand weer te geven.

De twee schakelaars die een modus uitschakelen

Beheerders beschikken over twee 'kill switches', en beide vereisen de string "disable" in plaats van een boolean.

{
  "permissions": {
    "disableAutoMode": "disable",
    "disableBypassPermissionsMode": "disable"
  }
}

De documentatie is specifiek over de locatie waar deze moeten worden geplaatst:

Om te voorkomen dat de modus bypassPermissions of auto wordt gebruikt, stelt u permissions.disableBypassPermissionsMode of permissions.disableAutoMode in op "disable" in een willekeurig instellingenbestand. Dit is vooral nuttig in beheerde omgevingen waar deze instellingen niet kunnen worden overschreven.

disableAutoMode verwijdert auto uit de Shift+Tab-cyclus en weigert --permission-mode auto bij het opstarten. disableBypassPermissionsMode voert dezelfde taak uit voor de bypass-modus, en dit werkt vanuit elk bereik. U kunt dit dus instellen in uw eigen ~/.claude/settings.json om uzelf de toegang te ontzeggen tot een modus die u liever niet gebruikt om 02:00 uur op een live server. Op een systeem dat door anderen wordt gebruikt, plaatst u beide in /etc/claude-code/managed-settings.json, aangezien een gebruikersinstellingenbestand toebehoort aan de gebruiker en een beheerd bestand niet.

Waarom de automatische modus op een VPS een isolatiegrens vereist

De classifier beoordeelt één actie per keer. Deze bevat niet wat een goedgekeurde actie vervolgens uitvoert. De documentatie trekt hier een duidelijke grens:

De classifier is een controle per actie, geen isolatiegrens. Een isolatiegrens voegt daarom nog steeds diepteverdediging toe voor onbeheerde runs, en is niet op dezelfde manier vereist als voor --dangerously-skip-permissions.

De combinatie voor een externe server is dus de automatische modus plus een omgeving die u bereid bent te verliezen, niet bypassPermissions plus hoop. De bypass-modus is uitsluitend gedocumenteerd voor geïsoleerde omgevingen: containers, virtuele machines of dev containers zonder internettoegang, waar Claude Code uw hostsysteem niet kan beschadigen. Een VPS die uw database en reverse proxy draait, valt hier niet onder.

Drie zaken zijn het meest bepalend op een server. Draai Claude Code als een normale gebruiker, nooit als root. Geef die gebruiker een werkmap en niets anders dat de moeite waard is om te lezen. Bouw de server opnieuw op in plaats van deze te repareren; dit is het argument voor een wegwerpbare VM die u na elke taak verwijdert. De details voor het harden van deze omgevingen, van het aanmaken van gebruikers tot firewallregels, worden behandeld in de volledige veiligheidsprocedure voor het draaien van Claude Code op een VPS, en worden hier daarom niet herhaald.

Claude Code dwingt de root-regel zelf af. Op Linux en macOS weigert het programma te starten in de bypass-modus onder sudo of als root:

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

Deze controle wordt overgeslagen binnen een herkende sandbox. Daarom is het gedocumenteerde antwoord voor autonoom containerwerk een dev container die Claude Code draait als een niet-rootgebruiker. Als u de agent aanstuurt vanaf een telefoon of laptop via SSH, geldt dezelfde redenering voor een langlopende Claude Code-sessie die opengehouden wordt in tmux: er kijkt niemand mee naar de prompt terwijl de sessie draait.

De Bash-sandbox instellen op een Ubuntu VPS

De ingebouwde sandbox beperkt de toegang tot het bestandssysteem en het netwerk voor elk Bash-commando dat Claude uitvoert; het besturingssysteem dwingt dit ook af voor onderliggende processen. Op Linux zijn hiervoor twee pakketten vereist.

sudo apt-get install bubblewrap socat

Start Claude Code en voer /sandbox uit. Het paneel opent met een tabblad Mode en een tabblad Overrides, plus een tabblad Dependencies waarin staat wat er ontbreekt. De controle op afhankelijkheden vindt plaats bij het opstarten; herstart Claude Code daarom na het installeren van de pakketten, anders geeft het paneel aan dat ze nog steeds ontbreken.

Op Ubuntu 24.04 en later voorkomt het standaard AppArmor-beleid dat bubblewrap de vereiste user namespaces aanmaakt, waardoor de sandbox niet start. Controleer of dit op uw systeem van toepassing is:

sysctl kernel.apparmor_restrict_unprivileged_userns

Een 0, of een foutmelding dat de sleutel niet bestaat, betekent dat er geen actie vereist is. Een 1 betekent dat bwrap een eigen profiel nodig heeft:

sudo tee /etc/apparmor.d/bwrap > /dev/null <<'EOF'
abi <abi/4.0>,
include <tunables/global>

profile bwrap /usr/bin/bwrap flags=(unconfined) {
  userns,
  include if exists <local/bwrap>
}
EOF
sudo systemctl reload apparmor

Het profiel is van toepassing op bwrap zelf, niet op de commando's die binnen de sandbox worden uitgevoerd. Beperk daarna de grenzen in de instellingen:

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    },
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"]
    }
  }
}

Dit blok hoort thuis in het .claude/settings.json van het project, omdat . alleen vanuit de projectinstellingen naar de projectroot verwijst. Plaats dezelfde regels in ~/.claude/settings.json en . verwijst in plaats daarvan naar ~/.claude, waardoor de denyRead-regel uw projectbestanden geblokkeerd houdt en elk commando faalt bij het lezen van de code die het moet bewerken.

Wees u bewust van wat dit niet dekt. De sandbox beperkt Bash en de bijbehorende onderliggende processen. De ingebouwde bestandstools draaien binnen het Claude Code-proces, en MCP (model context protocol)-servers en hooks zijn afzonderlijke processen die ongehinderd op de host draaien. Om deze allemaal achter één grens te plaatsen, voert u het volledige Claude Code-proces uit binnen een container, een virtuele machine of het @anthropic-ai/sandbox-runtime-pakket, dat op het moment van schrijven een bèta-onderzoekspreview is.

Welke modus is geschikt voor welke configuratie?

Een solo-repository op uw eigen laptop

Gebruik auto, met ask-regels voor de acties die u wilt toestaan. U zit zelf achter het toetsenbord, de fallback-classifier kan u bereiken en de schade blijft beperkt tot één machine die u beheert. Dit is de situatie waarvoor de standaardinstelling van 14 augustus is geschreven.

Een gedeelde VPS

Gebruik auto per gebruiker, ingesteld in de eigen ~/.claude/settings.json van elke gebruiker, op een server waar het account dat Claude Code uitvoert niet root is en de bestanden van andere gebruikers niet kan lezen. Implementeer disableBypassPermissionsMode als "disable" in /etc/claude-code/managed-settings.json, samen met de weigeringsregels die gedeelde paden beschermen. Een gedeelde server is het duidelijkste voorbeeld waarbij bypassPermissions onjuist is, omdat de isolatiegrens waar die modus vanuit gaat niet bestaat: de andere gebruikers bevinden zich binnen die grens.

CI en onbeheerde sessies

Gebruik dontAsk met een expliciete allow-lijst van de commando's die de taak nodig heeft. Automatisch weigeren is de juiste foutmodus wanneer er geen persoon is die een prompt kan zien. De automatische modus werkt ook non-interactief, maar herhaalde blokkades door de classifier breken een -p-sessie af, waardoor een taak die deze blokkades raakt halverwege stopt met onvoltooid werk. Gebruik bypassPermissions alleen voor een container of virtuele machine die u vanaf een image opnieuw opbouwt, en nooit op een host die ook andere belangrijke processen draait.

FAQ

Wanneer wordt auto mode de standaard in Claude Code?

Vanaf 14 augustus 2026, voor nieuwe sessies op Pro-, Max- en Team-abonnementen. De documentatie voegt toe dat u op elk gewenst moment van modus kunt wisselen, dat een door u ingestelde standaard behouden blijft tenzij u de eenmalige overstapmelding accepteert, en dat een standaard die door uw organisatie wordt beheerd ongewijzigd blijft. De aankondiging vermeldt dat auto mode optioneel blijft voor Enterprise-abonnementen en voor accounts die de API gebruiken tijdens het eerste deel van de uitrol. Controleer in welke modus een sessie zich daadwerkelijk bevindt door naar de statusbalk te kijken; deze toont ⏵⏵ auto mode on in auto mode.

Moet ik auto mode of bypassPermissions gebruiken op een VPS?

Gebruik auto mode, in combinatie met een isolatiegrens. De classifier beoordeelt elke actie voordat deze wordt uitgevoerd, maar de documentatie is expliciet dat dit een controle per actie is en geen isolatiegrens. Een onbeheerde uitvoering vereist daarom nog steeds een container, een virtuele machine of een omgeving die u bereid bent opnieuw op te bouwen. bypassPermissions slaat de controles volledig over en is uitsluitend gedocumenteerd voor geïsoleerde omgevingen. Claude Code weigert op te starten in die modus als root op Linux en toont --dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons.

Hoe voorkom ik dat iemand op mijn server auto mode of bypass mode gebruikt?

Stel permissions.disableAutoMode en permissions.disableBypassPermissionsMode in op de string "disable" in /etc/claude-code/managed-settings.json. Beheerde instellingen staan boven elke andere scope, dus geen enkel gebruikersinstellingenbestand of command-line flag kan deze overschrijven. disableAutoMode verwijdert auto uit de Shift+Tab-cyclus en weigert --permission-mode auto bij het opstarten. disableBypassPermissionsMode werkt ook vanuit elke scope, dus een individuele gebruiker kan dit instellen in hun eigen ~/.claude/settings.json.

Waarom wordt mijn defaultMode: "auto"-instelling genegeerd?

Omdat deze in het verkeerde bestand staat. Vanaf Claude Code v2.1.142 wordt defaultMode: "auto" genegeerd wanneer deze afkomstig is uit .claude/settings.json of .claude/settings.local.json, zodat een repository zichzelf geen auto mode kan toekennen door een instellingenbestand mee te leveren. De sessie start in default-modus en toont geen foutmelding. Verplaats de instelling naar ~/.claude/settings.json en voer vervolgens /permissions uit om te bevestigen uit welk bestand elke actieve regel afkomstig is. Als auto mode nog steeds niet beschikbaar is, controleer dan de modelvereiste: oudere modellen zoals Sonnet 4.5 worden door geen enkele provider ondersteund.