클로드 코드 auto 모드, 무엇을 막나: 기본 모드가 된 조건과 끄고 바꾸는 법

이 글 순서

1. auto 모드가 하는 일
2. 행동 하나를 보는 순서
3. 기본으로 막는 것
4. 그냥 지나가는 것
5. 기본 모드가 된 조건
6. 쓸 수 있는 조건
7. 끄거나 바꾸는 법
8. 조직 관리자가 막는 법
9. deny·ask 규칙과 훅
10. 자꾸 막힐 때
11. 문서가 적은 한계
12. 사용량에 반영되나
13. 윈도우에서 다른 점
14. 코덱스·제미나이 CLI는
15. 한국에서 되나
16. 누구에게 맞나
17. 다시 확인할 날짜
18. 참고한 자료

클로드 코드를 업데이트한 뒤로 “이 명령을 돌려도 될까요” 창이 눈에 띄게 줄었다면, 입력 칸 아래 상태 줄에 auto mode on이 떠 있을 가능성이 커요. 8월부터 차례로, 9월 말 버전부터는 요금제를 가리지 않고 새 세션이 auto 모드로 시작하게 바뀌었어요. 묻지 않는다고 아무것도 안 보는 것은 아니에요. 나 대신 모델 하나가 더 붙어서 살펴요.

이 글은 클로드 코드 문서 “Choose a permission mode”(permission-modes), “Configure auto mode”(auto-mode-config), “Auto mode classifier request charges”, 설정 참고 문서와 주간 소식을 2026년 10월 8일에 읽고 옮긴 거예요. 모드 이름과 설정 필드, 명령은 문서의 영어 그대로 두었고, 문서에 없는 것은 “공식 안내 없음”이나 “미확인”으로 적었어요. 권한 모드 여섯 가지를 나란히 놓은 표와 allow·ask·deny 규칙 적는 형식은 클로드 코드 권한 설정 글에 있어서 여기서는 auto 모드만 다뤄요.

auto 모드가 하는 일

문서의 첫 문장은 이래요. auto 모드는 Claude가 평소의 권한 확인 창 없이 일하게 하고, 따로 도는 분류 모델(classifier)이 행동을 실행하기 전에 살펴요. 분류 모델이 막는 것은 세 가지로 적혀 있어요. 내가 시킨 것보다 일을 키우는 행동, 알아보지 못한 바깥 인프라를 겨눈 행동, 그리고 Claude가 읽은 나쁜 글에 끌려간 것처럼 보이는 행동이에요.

• 명령을 적은 ask 규칙은 auto 모드에서도 그대로 물어요. 첫 문단 끝에 따로 적혀 있어요.
• 분류 모델은 Claude가 다른 에이전트에게 보내는 메시지(SendMessage)도 살펴요. v2.1.222 이상에서요.
• rm -rf /나 rm -rf ~처럼 맨 위 폴더나 홈 폴더를 지우는 명령은 분류 모델에 맡기지 않고 따로 다뤄요. 터미널에서는 나에게 묻고, 물을 수 없는 곳에서는 거절해요.
• auto 모드는 Claude가 되묻느라 멈추지 않고 일을 이어 가도록 밀어 준다고도 적혀 있어요. 프롬프트나 스킬이 묻기를 분명히 요구하면 그때는 물어요.

나온 때는 발표 글과 주간 소식에 남아 있어요. 3월 24일 발표 글은 Team 요금제에 미리 보기(research preview)로 먼저 열었다고 적었어요. 5월 18~22일 주 소식에 Pro 요금제와 Sonnet 4.6으로 넓어졌고, 6월 1~5일 주에는 Amazon Bedrock 같은 다른 제공사에서도 쓸 수 있게 됐어요. 발표 글 맨 위에는 7월 10일에 모든 사용자에게 정식으로 열렸다는 업데이트가 있어요.

행동 하나를 보는 순서

문서는 행동마다 정해진 순서를 거치고 먼저 맞은 단계가 정한다고 적었어요. 맨 위 그림이 이 순서예요.

1. 내 allow·ask·deny 규칙에 맞으면 거기서 바로 정해져요. deny는 막고, Bash(git push *)처럼 명령을 적은 ask 규칙은 나에게 물어요.
2. 읽기만 하는 행동과 작업 폴더 안의 파일 고치기는 묻지 않고 지나가요. .git이나 .claude 같은 보호 경로에 쓰는 것은 빼고요.
3. 그 밖의 것은 모두 분류 모델로 가요.
4. 분류 모델이 막으면 Claude가 이유를 받아요. 대개 [Data Exfiltration]처럼 맞은 규칙의 이름이에요.

1번에는 예외가 붙어 있어요. 문서가 든 것 가운데 자주 만날 만한 것만 옮겨요.

• 보호 경로에 쓰는 것은 allow 규칙에 맞아도 분류 모델로 가요.
• auto 모드에 들어가면 아무 코드나 돌릴 수 있게 하는 넓은 allow 규칙이 잠시 빠져요. Bash(*)와 PowerShell(*), Bash(python*)처럼 인터프리터에 별표를 붙인 규칙, 패키지 관리자의 run 명령, Agent와 Monitor allow 규칙이에요. Bash(npm test)처럼 좁은 규칙은 그대로 남고, auto 모드에서 나오면 빠졌던 규칙이 돌아와요.
• 작업 폴더 밖의 파일을 Read·Grep·Glob 도구로 처음 읽을 때는 한 번 물어요. 계속 허락할지, 앞으로 막을지를 여기서 골라요.
• 설치한 mod가 행동을 먼저 허락하면 분류 모델은 그 행동을 보지 않는다고 적혀 있어요.

분류 모델이 무엇을 보는지도 적혀 있어요. 클로드 코드가 직접 보내는 분류 요청에는 내가 보낸 메시지, 읽기·찾기를 뺀 도구 호출, CLAUDE.md 내용이 들어가요. 도구 결과는 그 요청에서 빼요. 문서는 그래서 파일이나 웹 페이지 속의 나쁜 글이 분류 모델을 직접 속일 수 없다고 적었어요. CLAUDE.md에 “force push 금지”처럼 적어 두면 Claude와 분류 모델이 같이 읽는다는 것도 이 부분에서 나와요.

기본으로 막는 것

분류 모델은 처음에 작업 폴더와, 세션을 시작할 때 그 저장소에 걸려 있던 원격 저장소만 믿어요. 나머지는 모두 바깥으로 쳐요. 문서의 “Blocked by default” 목록은 마흔 줄이 넘어서, 혼자 쓰는 사람이 만날 만한 것을 골라 표로 옮겼어요.

종류	문서에 나온 예시
받아서 바로 실행	curl | bash
밖으로 보내기	민감한 데이터를 바깥 주소로 보내기, 살아 있는 토큰을 화면이나 파일에 출력하기
되돌리기 어려운 git	force push, git reset --hard, git checkout — ., git clean -fd, git stash drop
남의 커밋 고치기	이 세션에서 만들지 않았거나 이미 push한 커밋에 git commit --amend
지우기	세션 전부터 있던 파일을 되돌릴 수 없게 지우기, 임시 폴더를 별표로 지우기
운영 쪽	운영 배포·마이그레이션, terraform destroy, DNS·TLS 인증서 바꾸기
지킴 장치 끄기	--insecure 같은 인자, 보안 테스트를 주석 처리하거나 지우기
사람 없는 에이전트 띄우기	--dangerously-skip-permissions로 다른 에이전트 돌리기

출처: 클로드 코드 문서 “Choose a permission mode”의 “What the classifier blocks by default”. 10월 8일 확인.

• 전체 목록은 터미널에서 claude auto-mode defaults를 치면 JSON으로 나와요. 규칙 하나만 읽으려면 claude auto-mode defaults --label 'Git Destructive'처럼 이름 접두사를 줘요(v2.1.208 이상).
• 버전이 오르면서 줄이 늘었어요. 문서에 v2.1.203, v2.1.205, v2.1.257, v2.1.261부터 더 막는 것이 따로 적혀 있어요. 클로드 코드의 대화 기록 파일(.jsonl)에 쓰는 것, 값을 알 수 없는 변수를 겨눈 rm -rf "$VAR"가 여기에 들어 있어요.
• 세션 도중에 git remote add나 git remote set-url로 더하거나 바꾼 원격 저장소는 믿지 않아요.

그냥 지나가는 것

“Allowed by default” 목록은 열 줄이에요. 앞의 네 줄이 위 그림이고, 나머지 가운데 눈여겨볼 것은 push예요.

• 작업 폴더 안의 파일 일, lock 파일이나 매니페스트에 적힌 의존성 설치, 읽기만 하는 HTTP 요청은 지나가요.
• .env를 읽어 그 키가 맞는 API로 보내는 것도 지나가는 쪽에 적혀 있어요. .env 읽기 자체를 막고 싶으면 Read deny 규칙을 써야 해요.
• 일하던 저장소라면 어느 브랜치로든 push가 지나가요. 기본 브랜치도 들어가요. 그 요청에 맞는 풀 리퀘스트 만들기도 묻지 않아요.
• 다만 production이나 gh-pages처럼 이름이 배포 자리를 뜻하는 브랜치는 빠져요. push에 담긴 내용도 따로 살펴서, 비밀 값이 저장소 밖으로 나가게 되는 커밋은 막혀요.
• v2.1.211보다 앞선 버전은 시작한 브랜치, Claude가 만든 브랜치, 기본 브랜치로 하는 평소 push만 지나갔고, v2.1.203보다 앞선 버전은 기본 브랜치로 바로 push하는 것을 막았다고 적혀 있어요.

push 앞에서 한 번은 직접 보고 싶다면 문서에 나온 예시는 이 형식이에요. auto 모드는 그대로 두고 두 명령만 사람에게 묻게 해요.

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

문서는 이 보기 옆에 빈틈도 적었어요. git -C <dir> push처럼 다르게 쓴 push는 이 규칙에 맞지 않아서 묻지 않아요. 명령 전체를 살펴 멈추게 하려면 PreToolUse 훅을 더하라고 해요. Bash 규칙이 왜 글자만 맞춰 보는지는 권한 설정 글의 “Bash 규칙의 한계” 절에, 훅을 적는 형식은 클로드 코드 훅(hooks) 글에 있어요.

기본 모드가 된 조건

새 세션이 어떤 모드로 시작하는지는 세 가지를 차례로 봐요. --permission-mode 인자, 설정 파일의 permissions.defaultMode, 그리고 아무것도 없을 때의 기본값이에요. 그 기본값이 버전에 따라 달라졌어요.

버전(나온 날)	기본으로 auto로 시작하는 세션
v2.1.228 (8월 11일)	macOS·리눅스·WSL의 Pro·Max·Team, 기능 플래그를 받는 세션
v2.1.233 (8월 14일)	윈도우 그대로(native Windows)의 Pro·Max·Team
v2.1.283 (9월 25일)	요금제·제공사와 상관없이 터미널과 VS Code 세션(아래 설명)
그보다 앞	없음(Manual로 시작)

출처: 클로드 코드 문서 “Choose a permission mode”의 “Which mode a session starts in”, 변경 기록(changelog)의 버전 날짜, 주간 소식 8월 3~7일 주. 10월 8일 확인.

날짜는 두 군데가 조금 달라서 둘 다 적어요. Pro·Max·Team은 버전이 8월 11일에 나왔지만 주간 소식은 8월 14일부터 기본 모드가 된다고 적었어요. 그리고 권한 모드 문서는 모든 요금제의 최소 버전을 v2.1.283으로 적었는데, 변경 기록에는 2.1.283(9월 25일)에 “다른 제공사이거나 텔레메트리를 끈 세션”이, 2.1.284(9월 28일)에 “모든 요금제와 제공사”가 적혀 있어요. 9월 28일 뒤에 받은 버전이면 어느 쪽으로 읽어도 같아요.

• 내가 사용자 설정에 다른 기본 모드를 적어 두었다면 그 모드로 계속 시작해요. Pro·Max·Team 요금제이거나 기능 플래그를 받지 않는 세션이면 클로드 코드가 auto로 바꿀지 한 번 물어보고, 거절하면 내 설정이 그대로 남아요.
• claude -p와 Agent SDK 실행은 따로예요. 기능 플래그를 받아 오는 세션이면 default로 시작하고, 받지 않는 세션(다른 제공사, 텔레메트리를 끈 경우)은 v2.1.285 이상에서 auto로 시작한다고 표에 적혀 있어요.
• HIPAA 설정이 걸린 조직은 v2.1.285부터 Manual로 시작해요. auto로 바꾸는 것은 그대로 돼요.
• 설치하거나 업데이트한 뒤의 첫 세션은 기능 플래그가 오기 전에 모드를 고를 수 있어서 표와 다르게 시작할 수 있다고 해요.
• 기본값이 처음으로 auto로 시작시킨 세션에는 알림이 한 번 떠요. 터미널은 세션 맨 위에, VS Code 확장은 새 대화 화면의 카드로요.
• 설정이나 기본값이 auto를 골랐는데 그 세션에서 auto를 쓸 수 없으면 Manual로 시작해요.

내 버전은 터미널에서 claude --version으로, 지금 모드는 입력 칸 아래 상태 줄에서 봐요. auto면 ⏵⏵ auto mode on, Manual이면 회색 ⏸ manual mode on이에요.

쓸 수 있는 조건

문서는 네 가지를 모두 채워야 auto 모드를 쓸 수 있다고 적었어요.

조건	문서에 적힌 것
요금제	모든 요금제
조직	Team·Enterprise는 기본으로 켜짐, 관리자가 끌 수 있음
모델(Anthropic API)	Opus 4.6 이상, Sonnet 4.6 이상, Haiku 5.5, Fable 모델
모델(Bedrock 등 다른 제공사)	Sonnet 5 이상, Opus 4.7 이상, Haiku 5.5, Fable 모델
안 되는 모델	Sonnet 4.5, Opus 4.5, Haiku 4.5, claude-3 모델

출처: 클로드 코드 문서 “Choose a permission mode”의 “Eliminate permission prompts with auto mode”. 10월 8일 확인.

• “모든 요금제”는 클로드 코드를 쓸 수 있는 요금제 안에서예요. 설치 문서는 무료 claude.ai 요금제에 클로드 코드가 들어 있지 않다고 적었어요.
• auto 모드를 쓸 수 없다고 나오면 위 조건과 설정 파일의 disableAutoMode를 먼저 보라고 해요. Anthropic이 서버 쪽에서 잠시 꺼 두었을 수도 있고, 그런 답을 받은 세션은 끝날 때까지 auto 모드가 꺼져 있으니 나중에 새 세션을 열라고 적혀 있어요.
• 다른 제공사에서 Haiku 5.5로 auto 모드를 쓰는 것은 v2.1.293 이상이에요.

끄거나 바꾸는 법

세션 안에서 바꾸는 것과, 새 세션이 시작하는 모드를 바꾸는 것이 따로 있어요.

하고 싶은 것	하는 법
지금 세션만 바꾸기	터미널에서 Shift+Tab
이번에 여는 세션만	claude --permission-mode default
이 컴퓨터의 모든 터미널 세션	~/.claude/settings.json의 permissions.defaultMode
auto를 아예 고를 수 없게	disableAutoMode를 “disable”로

출처: 클로드 코드 문서 “Choose a permission mode”의 “Start in a different permission mode”·”Switch permission modes”, “Settings reference”의 disableAutoMode. 10월 8일 확인.

아래는 문서에 실린 보기 그대로예요. ~/.claude/settings.json에 넣으면 이 컴퓨터의 터미널 세션이 모두 Manual 모드로 시작해요. 다음 세션의 상태 줄에 ⏸ manual mode on이 보이면 걸린 거예요.

{
  "permissions": {
    "defaultMode": "default"
  }
}

• Shift+Tab은 auto에서 한 번 누르면 default(Manual)로 가요. 그 뒤로 acceptEdits, plan을 돌고 다시 auto로 와요. auto로 돌아올 때는 확인 창 없이 바로 바뀐다고 적혀 있어요.
• Manual이나 acceptEdits에서 Bash 명령의 권한 확인 창에는 “Yes, and switch to auto mode”가 붙어요(v2.1.247 이상). 내 ask 규칙이나 훅 때문에 뜬 창에는 이 줄이 없어요. auto로 바꿔도 그 창은 그대로 뜨기 때문이에요.
• defaultMode에 "auto"를 프로젝트 파일(.claude/settings.json)이나 로컬 파일(.claude/settings.local.json)에 적으면 듣지 않아요. 그러면 클로드 코드는 사용자 설정의 값도 건너뛰고 기본값을 써요. auto로 시작하게 하려면 ~/.claude/settings.json에 적으라고 해요. Manual이나 plan 같은 다른 값은 어느 파일에 적어도 돼요.
• VS Code 확장은 입력 칸 아래 모드 표시를 눌러 바꿔요. 시작 모드를 못 박는 설정은 VS Code 사용자 설정의 claudeCode.initialPermissionMode이고, 이 설정은 auto 값을 받지 않아요. Manual로 시작하게 하려면 여기에 default를 적어요. 확장은 프로젝트 설정 파일에서 시작 모드를 읽지 않아요.
• 데스크톱 앱은 보내기 버튼 옆의 모드 고르기에서 바꿔요. 고른 모드는 폴더마다 기억되고 그 폴더에서는 defaultMode보다 먼저 쓰여요. 문서는 예외도 적었어요. 데스크톱 앱에서 Plan을 고르면 지금 세션에만 걸리고, VS Code 확장에서 Plan이나 Bypass permissions를 고르면 그 대화에만 걸려요.
• plan 모드에서도 auto 모드를 쓸 수 있는 세션이면 분류 모델이 셸 명령을 살펴요. 이것만 끄는 필드는 useAutoModeDuringPlan이고, false로 두면 읽기 전용이 아닌 명령마다 물어요. 경우가 하나 더 있어요. 건너뛰기 모드(bypassPermissions)를 고를 수 있게 띄운 터미널 세션에서는 Claude Code가 plan 모드의 막기를 지키지 않는다고 적혀 있어요(“Claude Code also doesn’t enforce plan mode’s blocks”). 세 경우는 클로드 코드 plan 모드 글에 옮겼어요.

조직 관리자가 막는 법

문서는 관리자가 쓸 필드를 따로 적었어요. 회사가 내려 주는 설정(managed settings)에 넣으면 쓰는 사람이 덮을 수 없어요.

• permissions.disableAutoMode를 "disable"로 두면 Shift+Tab 차례에서 auto가 빠져요. --permission-mode auto로 띄워도 Manual로 시작해요. 문서의 다른 제공사(Bedrock 등) 절에는 이미 auto로 돌던 세션도 관리자가 내려 준 설정이 적용되면 auto에서 나오고 auto mode disabled by settings가 뜬다고 적혀 있어요. v2.1.251보다 앞선 버전은 그 세션이 끝날 때까지 auto가 남았다고 해요.
• 회사 설정의 permissions.defaultMode는 시작 모드만 정해요. 이것만 걸면 사람들이 auto로 바꿀 수는 있어요.
• 무슨 일이 있어도 돌면 안 되는 행동은 회사 설정의 permissions.deny에 적으라고 해요. 분류 모델에 묻기 전에 막고, 덮을 수 없어요.
• 분류 모델이 믿을 저장소·버킷·도메인은 autoMode.environment에 적어요. 이 autoMode 필드는 사용자 설정, 회사 설정, --settings 인자에서만 읽어요. 저장소 안의 프로젝트·로컬 설정 파일에서는 읽지 않아요. 받아 온 저장소가 스스로 허락 규칙을 끼워 넣지 못하게 하려는 거예요.
• autoMode의 allow, soft_deny, hard_deny, environment를 적을 때 "$defaults"를 빼면 그 목록의 기본 규칙이 통째로 사라진다고 위험 상자에 적혀 있어요. force push나 curl | bash 막기도 같이 사라져요.

deny·ask 규칙과 훅

auto 모드에서 “여기서는 멈춰”를 정하는 방법을 문서가 표 하나로 적었어요. 얼마나 단단해야 하느냐에 따라 고르라고 해요.

정하는 방법	auto 모드에서	문서가 적은 빈틈
permissions.ask	맞는 명령은 늘 물음	다르게 쓴 명령은 안 맞음
permissions.deny	분류 모델보다 먼저 막음	Bash 규칙은 글자만 맞춰 봄
대화로 말하기	분류 모델이 맞는 행동을 막음	대화 줄이기로 사라질 수 있음

출처: 클로드 코드 문서 “Configure auto mode”의 “Add a human checkpoint”, “Choose a permission mode”의 “Boundaries you state in conversation”. 10월 8일 확인.

• 대화에서 “push하지 마”나 “내가 볼 때까지 배포하지 마”라고 하면 분류 모델이 그것을 막을 신호로 읽어요. 기본 규칙이 허락하는 행동이어도 막아요. 내가 뒤의 메시지에서 풀 때까지 이어지고, Claude가 스스로 “조건이 채워졌다”고 봐도 풀리지 않아요.
• 다만 이 금지는 규칙으로 저장되지 않아요. 분류 모델이 확인할 때마다 대화 기록에서 다시 읽기 때문에, 그 말이 담긴 메시지가 대화 줄이기(compaction)로 빠지면 잃을 수 있어요. 문서는 확실히 지켜야 하면 deny 규칙을 더하라고 적었어요.
• 거꾸로 막힌 행동을 대화로 허락할 수도 있어요. 이때는 행동과 그 위험한 부분을 꼭 집어 말해야 해요. “force push해도 돼”만으로는 풀리지 않고, 어느 브랜치인지까지 말해야 한다는 예시가 실려 있어요. 허락은 그 행동 하나에만 걸려요.
• 좁은 allow 규칙은 auto 모드에서도 분류 모델보다 먼저 걸려요. 문서는 그래서 규칙이 내다보지 못한 스크립트 경로나 인자가 분류 모델을 거치지 않고 지나갈 수 있다고 적었어요. 모든 셸 명령을 분류 모델에 보내려면 autoMode.classifyAllShell을 true로 두라고 해요. 명령마다 기다리는 시간이 붙고 분류 호출도 그만큼 늘어요.
• 훅은 그대로 돌아요. PreToolUse 훅이 띄운 권한 확인 창은 auto 모드에서도 뜬다고 적혀 있어요. 훅이 종료 코드 2로 막는 것과 deny·allow 규칙의 앞뒤는 클로드 코드 훅(hooks) 글의 “꼭 지켜야 하면 무엇” 절에 있어요.
• 서브에이전트의 일은 세 번 살펴요. 맡기는 일의 설명을 시작 전에, 도는 동안에는 행동마다, 끝난 뒤에는 한 일과 보고를요. 서브에이전트 프론트매터의 permissionMode는 auto 모드에서 듣지 않아요.

자꾸 막힐 때

분류 모델이 막으면 알림이 뜨고, 막힌 행동이 /permissions의 Recently denied 탭에 쌓여요. 거기서 r을 누르면 내가 직접 허락해서 다시 시키는 것으로 표시돼요.

이럴 때	일어나는 일
한 번 막힘	알림, Recently denied 탭에 기록
이어서 3번, 또는 모두 20번	auto 모드가 멈추고 다시 나에게 물음
분류 모델이 답을 못 냄	그 행동을 거절(실행하지 않음)
-p 실행에서 반복 막힘	그 행동은 안 돌고 Claude는 일을 이어 감

출처: 클로드 코드 문서 “Choose a permission mode”의 “When auto mode falls back”·”Repeated-block thresholds”. 10월 8일 확인.

• 3번과 20번이라는 숫자는 바꿀 수 없다고 적혀 있어요. 물어 온 행동을 허락하면 auto 모드가 다시 이어져요.
• 문서는 반복해서 막히는 것이 대개 분류 모델이 내 인프라를 몰라서라고 적었어요. 잘못 막은 것(false positive)은 /feedback으로 알리거나, 믿는 저장소와 주소를 autoMode.environment에 더하라고 해요. /auto-mode-setup을 치면 클로드 코드가 그 항목을 대신 적어 준다고 해요.
• 입력 칸 옆 알림은 bash denied by auto mode · [Data Exfiltration] · /permissions 같은 형식이에요. 대괄호 안이 맞은 규칙의 이름이에요.
• 분류 규칙과 믿는 곳 목록은 /permissions의 Auto mode 탭에서 보고 고쳐요(v2.1.246 이상). 여기서 고친 것은 ~/.claude/settings.json에 저장돼요. 지금 실제로 쓰이는 규칙은 claude auto-mode config로, 내가 적은 규칙을 지우고 처음으로 돌리는 것은 claude auto-mode reset으로 해요.

문서가 적은 한계

auto 모드가 어디까지인지를 Anthropic이 스스로 적은 문장만 모았어요. 문서에 없는 말은 더하지 않았어요.

• 경고 상자: auto 모드는 권한 확인 창을 줄여 주지만 안전을 보장하지는 않아요. 큰 방향을 믿을 수 있는 일에 쓰고, 민감한 작업의 검토를 대신하는 것으로 쓰지 말라고 해요.
• 모드별 표의 auto 줄: 따로 격리할 필요는 없다고 하면서도, 샌드박스나 컨테이너가 겹겹이 막는 구실을 더해 준다고 적었어요.
• 발표 글(3월 24일): 분류 모델은 위험한 행동을 그래도 허락할 수 있다고 적었어요. 내 뜻이 또렷하지 않을 때, 내 환경을 잘 몰라서 그 행동이 위험을 더하는지 알 수 없을 때를 예시로 들었어요. 괜찮은 행동을 가끔 막을 수도 있다고 해요.
• Anthropic 엔지니어링 글(3월 25일)에는 숫자가 있어요. 실제로 쓰이는 두 단계 분류를 거쳤을 때, 직원들의 실제 도구 호출 1만 건에서 괜찮은 행동을 막은 비율이 0.4%였어요. 실제 세션에서 모은 “시킨 것보다 나간 위험한 행동” 52건에서는 17%를 놓쳤고, 만들어 낸 데이터 빼돌리기 시도 1,000건에서는 5.7%를 놓쳤다고 적었어요. 글은 17%를 “정직한 숫자”라고 부르고, 위험이 큰 인프라에서 사람의 꼼꼼한 검토를 그대로 대신하는 것이 아니라고 적었어요. 3월 발표 때의 숫자이고, 지금 버전의 숫자는 문서에 없어요.
• 대화로 말한 금지는 대화 줄이기로 사라질 수 있어요.
• 좁은 allow 규칙에 맞은 명령은 분류 모델이 보지 않아요.
• 분류 모델의 요청이 실패하면 그 행동은 거절돼요. 문서는 이것이 대개 잠깐의 일이라고 적었어요.

사용량에 반영되나

분류 모델도 모델을 한 번 더 호출하는 것이라 사용량이 궁금해져요. 문서 세 곳에 적힌 것을 계정 종류별로 나눠 옮겨요.

계정	문서에 적힌 것	근거
Pro·Max·Team	분류 호출이 사용 한도에 더는 반영되지 않음	주간 소식 8월 3~7일 주
Enterprise·Claude API·Bedrock 등	클로드 코드가 직접 보낸 분류 호출은 토큰 사용량에 잡힘	permission-modes “Cost and latency”
서버가 살피는 세션	따로 셀 분류 호출이 없음, 요금 없음	classifier request charges 문서
분류 한 번에 드는 토큰 수	숫자 없음(공식 안내 없음)	–

출처: 클로드 코드 문서 “Choose a permission mode”의 “Cost and latency”·”Server-side classifier review”, “Auto mode classifier request charges”, 주간 소식 “Week 32”. 10월 8일 확인.

• 분류 모델은 내가 /model로 고른 모델이 아니라 기본으로 Claude Sonnet 5에서 돌아요. 세션 모델이 Sonnet 4.6이면 그 모델에서, Fable 모델이면 Opus 모델에서 돈다고 적혀 있어요.
• 확인 한 번은 대화 기록의 일부와 하려는 행동을 보내고 답을 받는 왕복이에요. 읽기와 작업 폴더 안 고치기는 분류 모델을 거치지 않으니, 더해지는 시간은 주로 셸 명령과 네트워크 요청에서 생긴다고 해요.
• 서버 쪽 검토(server-side classifier review)는 분류를 세션의 모델 요청에 얹어서 서버가 하는 방식이에요. 터미널 세션은 Pro·Max·Team이 v2.1.271, Enterprise와 API 계정이 v2.1.278 이상에서 차례로 켜지는 중이라고 적혀 있어요.
• “this session isn’t eligible”로 끝나는 알림은 서버 검토가 내 세션에 적용되지 않아 클로드 코드가 직접 분류 요청을 보내고, 그만큼이 토큰 사용량에 반영된다는 뜻이에요. 가장 흔한 이유는 중간에 낀 LLM 게이트웨이나 프록시라고 해요. 문서는 Pro·Max·Team 요금제에는 이 알림이 뜨지 않는다고 적었어요.
• 지금 세션이 어느 쪽인지는 /status의 Auto mode server 줄에서 봐요. Enabled면 서버가 살피는 중이에요.

윈도우에서 다른 점

항목	윈도우에서
auto 기본 시작(Pro·Max·Team)	윈도우 그대로는 v2.1.233부터, WSL은 v2.1.228부터
PowerShell 권한 확인 창	“Yes, and switch to auto mode”가 없음
Remove-Item이 별표로 끝남	분류 모델이 보기 전에 거절
Remove-Item으로 드라이브 맨 위·홈 폴더 지우기	어느 모드에서든 묻지 않고 거절
사용자 설정 파일	%USERPROFILE%\.claude\settings.json

출처: 클로드 코드 문서 “Choose a permission mode”의 “Which mode a session starts in”·”Switch permission modes”·”Remove-Item in PowerShell”, “Settings files and precedence”. 10월 8일 확인.

• 작업 폴더나 그 위 폴더를 -Recurse로 지우는 Remove-Item은 auto 모드에서 분류 모델로 가요.
• cmd /c rd /s /q C:\Users처럼 cmd를 거친 rd, rmdir, del, erase도 드라이브 맨 위와 그 바로 아래 폴더, 홈 폴더를 겨누면 거절돼요(v2.1.283 이상).
• auto 모드에서 맨 위 폴더나 홈 폴더를 지우는 rm은 터미널이면 2분 시간 제한이 붙은 창으로 물어요. VS Code 확장의 대화 창과 데스크톱 앱처럼 터미널 창을 띄울 수 없는 곳에서는 바로 거절해요(v2.1.281 이상).
• 샌드박스는 윈도우 그대로는 돌지 않고 WSL2 안에서만 돼요. 그래서 문서가 auto 모드에 “겹겹이 막는 구실”로 든 샌드박스를 윈도우에서 같이 쓰려면 WSL2에서 클로드 코드를 띄워야 해요. 이 부분은 권한 설정 글의 “윈도우에서 다른 점” 절에 문서 그림과 함께 있어요.

코덱스·제미나이 CLI는

터미널에서 쓰는 다른 두 도구에서 “묻지 않고 알아서 하게 하는” 설정에 해당하는 것을 놓았어요. 세 도구가 같은 구조는 아니에요. 코덱스는 샌드박스가 먼저 있고 그 밖으로 나갈 때 승인을 받는 구조라, 줄마다 무엇을 건너뛰는지가 달라요.

도구	다른 모델이 대신 살핌	문서의 주의 문구	근거
클로드 코드	auto 모드(분류 모델)	안전을 보장하지 않음, 민감한 작업의 검토를 대신하지 않음	permission-modes 문서
코덱스	approvals_reviewer = “auto_review”(리뷰어 에이전트)	모델을 더 불러 Codex 사용량이 늘 수 있음	Agent approvals & security·Auto-review 문서
제미나이 CLI	읽은 문서에 없음(미확인)	–	Policy engine·Configuration 문서

도구	승인을 건너뛰는 설정	문서의 주의 문구	근거
클로드 코드	--dangerously-skip-permissions	격리된 컨테이너·VM에서만	permission-modes 문서
코덱스	--ask-for-approval never	주의 문구 없음, 샌드박스는 그대로 남음	Agent approvals & security 문서
코덱스	--dangerously-bypass-approvals-and-sandbox(--yolo)	“Use caution before doing so”, 표에는 “not recommended”	Agent approvals & security 문서
제미나이 CLI	auto_edit(고치기만), --approval-mode=yolo(전부)	“use with extreme caution”	Policy engine·Configuration 문서

출처: 클로드 코드 문서 “Choose a permission mode”, OpenAI 코덱스 문서 “Agent approvals & security”·”Auto-review”, 제미나이 CLI 문서 “Policy engine”·”Gemini CLI configuration”. 10월 8일 확인.

• 코덱스의 Auto-review는 사람에게 갈 승인 요청을 리뷰어 에이전트가 대신 보는 설정이에요. 문서는 이것이 살피는 쪽을 바꾸는 것이지 권한을 더 주는 것이 아니라고 적었어요. 샌드박스 안에서 도는 행동은 살피지 않고, 샌드박스 밖으로 나가려는 요청만 봐요. 살피다 실패하거나 시간이 넘으면 그 행동은 돌지 않는다고 해요.
• 코덱스의 --ask-for-approval never는 묻지 않게 할 뿐 샌드박스는 그대로 둬요. 샌드박스까지 없애는 것이 --dangerously-bypass-approvals-and-sandbox예요.
• 제미나이 CLI 문서는 yolo 모드를 명령줄 인자로만 켤 수 있다고 적었어요. 설정 파일의 기본 승인 모드 필드가 받는 값은 default, auto_edit, plan이에요. yolo 모드를 막는 필드로 disableYoloMode와 secureModeEnabled가 설정 문서에 있어요.
• 구글이 제미나이 CLI 뒤를 잇는다고 밝힌 안티그래비티 CLI에 같은 설정이 있는지는 확인하지 못했어요(미확인).
• 세 도구의 다른 기능 비교는 클로드 코드·코덱스·제미나이 CLI 비교 글에 있어요.

한국에서 되나

항목	공식 문서에 적힌 것
나라	지원 나라 목록에 South Korea 있음
요금제	모든 요금제(클로드 코드는 Pro·Max·Team·Enterprise·Console 계정)
언제부터	3월 24일 Team 미리 보기, Pro는 5월 18~22일 주, 7월 10일 모두에게
기본 시작 모드	Pro·Max·Team 8월 14일부터, 모든 요금제 v2.1.283(9월 말)
따로 드는 돈	Pro·Max·Team은 분류 호출이 한도에 안 잡힘
문서 언어	이 글이 본 것은 영어 문서

출처: Anthropic “Supported countries and regions”, 클로드 코드 문서 “Advanced setup”·”Choose a permission mode”, 주간 소식 Week 13·21·32, 변경 기록. 10월 8일 확인.

auto 모드 문서에는 나라를 가리는 문장이 없어요. 클로드 코드를 쓸 수 있고 모델 조건이 맞으면 한국에서도 같아요. 이 글에 나온 버전 번호보다 내 클로드 코드가 낮으면 그 부분은 다르게 움직일 수 있어요.

누구에게 맞나

여기부터는 위 문서를 놓고 본 제 생각이에요. auto 모드를 켜라거나 끄라는 얘기가 아니라, 어느 쪽이든 멈출 자리를 어디에 둘지에 대한 얘기예요.

이런 분	먼저 할 것	이유
업데이트 뒤 권한 확인 창이 줄어 낯섦	상태 줄에서 지금 모드부터 확인	9월 말 버전부터 기본이 auto
하나하나 직접 보고 싶음	defaultMode를 default로	문서에 예시가 그대로 있음
push·배포 앞에서는 꼭 멈추고 싶음	ask 규칙 두 줄	분류 모델이 대신 허락하지 못함
키 파일·.env가 걱정됨	Read deny 규칙	.env 읽기는 기본으로 지나감
회사 컴퓨터	관리자 설정부터 확인	disableAutoMode로 막혀 있을 수 있음

• 가장 먼저 할 일은 내 세션이 지금 어느 모드인지 아는 것이라고 봐요. 기본값이 바뀐 것이라 내가 고른 적이 없어도 auto일 수 있어요.
• auto 모드를 그대로 쓴다면 “말로 한 금지”에 기대지 않는 쪽이 좋겠어요. 문서가 대화 줄이기로 사라질 수 있다고 적었으니, 꼭 지켜야 하는 것은 ask나 deny 규칙으로 옮겨 두는 편이 문서의 권고와 맞아요.
• 민감한 일을 할 때는 그 세션만 claude --permission-mode default로 여는 방법도 있어요. 경고 상자가 auto 모드를 민감한 작업의 검토 대신으로 쓰지 말라고 했으니까요.
• 권한 확인 창이 많아 번거로웠던 분이라면, 건너뛰기 모드로 가기 전에 문서가 그 자리에 auto 모드를 대신 들었다는 점만 알아 두세요. 건너뛰기 모드의 경고는 권한 설정 글의 “건너뛰기 모드 주의” 절에 옮겨 두었어요.

다시 확인할 날짜

• 11월 7일: 기본 시작 모드 표(v2.1.283·v2.1.285 줄), 쓸 수 있는 모델 목록
• 11월 7일: 기본으로 막는 것·지나가는 것 목록에 더해진 줄, push 기본 허락이 그대로인지
• 11월 7일: 분류 호출 사용량 문장(Pro·Max·Team 한도, 서버 쪽 검토가 적용되는 범위)
• 12월 8일: 코덱스 Auto-review 설정, 제미나이 CLI 승인 모드, 안티그래비티 CLI

이 글의 내용은 2026년 10월 8일 기준이에요.

같이 보면 좋은 글: 클로드 코드 권한 설정 allow·ask·deny: 규칙 적는 형식과 덜 묻게 하는 방법

같이 보면 좋은 글: 클로드 코드 훅(hooks), 매번 돌아야 할 일에: 적는 곳과 종료 코드 2로 막기

같이 보면 좋은 글: AI 비교 2026: 클로드·챗GPT·제미나이 요금제·한도·기능 표

이 글이 들어간 총정리: 클로드 코드 사용량 아끼는 법

같이 보면 좋은 글: 클로드 코드 claude -p 사용법: 화면 없이 시키고 답만 받기, 파일·json·허락 설정까지

같이 보면 좋은 글: 클로드 코드 깃 커밋·PR 맡기는 법: 연습 폴더부터 /diff·push 막기·서명 줄까지

참고한 자료

2026년 10월 8일에 확인했어요.

• Choose a permission mode (클로드 코드 문서, auto 모드·시작 모드 표·기본으로 막는 것·막힐 때·사용량·윈도우)
• Configure auto mode (클로드 코드 문서, ask·deny로 멈출 자리 두기·autoMode 필드·claude auto-mode 명령)
• Auto mode classifier request charges (클로드 코드 문서, 분류 요청이 사용량에 반영되는 경우)
• Settings reference (클로드 코드 문서, disableAutoMode·useAutoModeDuringPlan·autoMode)
• Week 32 · August 3–7, 2026 (클로드 코드 주간 소식, 기본 모드가 된 날·사용 한도)
• Week 13 · March 23–27, 2026 (클로드 코드 주간 소식, auto 모드 처음)
• Week 21 · May 18–22, 2026 (클로드 코드 주간 소식, Pro 요금제·Sonnet 4.6)
• Week 23 · June 1–5, 2026 (클로드 코드 주간 소식, 다른 제공사)
• Changelog (클로드 코드 문서, v2.1.228·v2.1.233·v2.1.283·v2.1.285 날짜)
• Auto mode for Claude Code (Anthropic 발표 글, 3월 24일 미리 보기·7월 10일 정식·위험한 행동을 허락할 수 있다는 문장)
• How we built Claude Code auto mode (Anthropic 엔지니어링 글, 분류 모델이 놓친 비율)
• Advanced setup (클로드 코드 문서, 쓸 수 있는 요금제)
• Agent approvals & security (OpenAI 코덱스 문서, 승인 없이 돌리기·자동 승인 검토)
• Auto-review (OpenAI 코덱스 문서, 리뷰어 에이전트가 보는 것)
• Policy engine (제미나이 CLI 문서, 승인 모드와 yolo)
• Gemini CLI configuration (제미나이 CLI 문서, 기본 승인 모드 값·yolo 막는 필드)
• Supported countries and regions (Anthropic, 지원 나라)