Modo automático de Claude Code

El modo automático de Claude Code es un modo de permisos pensado para tareas largas en las que no quieres aprobar cada comando a mano, pero tampoco desactivar todas las protecciones. En lugar de pedirte confirmación, un modelo clasificador evalúa cada llamada a herramienta (editar archivos, ejecutar comandos en la terminal, hacer peticiones de red) y decide si se ejecuta o se bloquea. Es el punto intermedio entre el modo por defecto, que pregunta casi todo, y saltarse los permisos por completo.

Cómo funciona

Claude Code tiene varios modos de permisos que se alternan desde la propia sesión, normalmente con Shift+Tab: el modo por defecto, el de aceptar ediciones, el modo plan y, cuando está habilitado, el modo automático. Su disponibilidad depende del plan, la versión de Claude Code y la configuración de la organización, y en algunos entornos un administrador debe activarlo antes.

Con el modo automático activo, el flujo de cada acción es este:

1. Claude propone una acción, por ejemplo npm install o borrar un directorio.
2. Antes de ejecutarla, un clasificador la evalúa en función de lo que el usuario ha pedido y del riesgo de la operación.
3. Si la considera segura y alineada con la tarea, se ejecuta sin interrumpirte.
4. Si la considera arriesgada (borrados masivos, envío de datos fuera del entorno, cambios destructivos no solicitados), la bloquea y Claude busca otra vía. Si los bloqueos se repiten, vuelve a pedirte confirmación.

Las reglas explícitas de allow y deny de tu configuración siguen aplicándose, y los hooks pueden añadir controles propios por encima.

Por qué importa

El cuello de botella de un agente de programación suele ser el humano pulsando "sí" cada pocos segundos. Eso genera fatiga de aprobación: acabas aceptando sin leer, que es justo lo contrario de lo que buscan los permisos. El modo automático permite dejar a Claude trabajando en una refactorización o en una batería de tests durante bastante tiempo con una red de seguridad activa.

La contrapartida es que delegas el criterio en un modelo. El clasificador reduce el riesgo, no lo elimina: puede dejar pasar una acción dañina o bloquear una legítima. Anthropic lo plantea como una opción más segura que desactivar permisos, no como sustituto de un entorno aislado.

Ejemplo práctico

Un patrón razonable es combinar el modo automático con reglas explícitas para lo que sabes que siempre quieres permitir o prohibir:

{
  "permissions": {
    "allow": ["Bash(npm run test:*)", "Bash(npm run lint)"],
    "deny": ["Bash(git push:*)", "Read(./.env)"]
  }
}

Así el clasificador decide en la zona gris, pero nunca podrá hacer git push ni leer tus secretos. Si quieres profundizar en cómo configurar permisos y autonomía en Claude Code dentro de flujos de desarrollo reales, conviene practicarlo en un repositorio de prueba antes de usarlo en producción.

Qué NO es

• No es el modo de aceptar ediciones. Ese modo aprueba automáticamente los cambios en archivos, pero sigue preguntando por los comandos de terminal. No hay ningún clasificador evaluando nada.
• No es --dangerously-skip-permissions. Saltarse los permisos ejecuta todo sin revisión alguna. El modo automático sí revisa cada acción.
• No es un sandbox. Las acciones aprobadas se ejecutan en tu máquina real. Para máxima autonomía sin riesgo, lo correcto sigue siendo un contenedor o una máquina virtual.
• No es inmune a la inyección de prompts. Está diseñado para resistirla mejor, pero un README o una página web maliciosa siguen siendo un vector de ataque a vigilar.