Claude Code 신기능 'Auto mode' 리뷰
승인 팝업 없이 Claude Code 쓰는 법
2025년 Anthropic이 공개한 Auto mode — 백그라운드 분류기 AI가 모든 액션을 자동 심사
📑 목차
1. Auto mode란 무엇인가
Claude Code는 그동안 파일을 수정하거나 터미널 명령을 실행할 때마다 사용자에게 수동으로 승인을 요청했습니다. 이 방식은 안전하지만, 수십 개의 파일을 수정하거나 장기 리팩토링 작업을 진행할 때 매번 팝업에 응답해야 하는 피로감이 상당했습니다. 2025년 Anthropic이 공개한 Auto mode는 이 문제를 근본적으로 해결합니다.
Auto mode는 단순히 "모든 것을 허용"하는 bypass 모드가 아닙니다. 대신, 별도의 분류기 AI(Classifier)가 Claude의 각 액션을 실시간으로 검토하여 안전한 액션만 자동으로 승인하고, 잠재적으로 위험한 액션은 차단합니다. 즉, 편의성과 안전성을 동시에 추구하는 균형 잡힌 접근 방식입니다.
▲ Claude Code Auto mode 소개 — 기존 수동 승인과의 차이
분류기는 Claude와는 완전히 분리된 독립적인 모델로 실행됩니다. 사용자의 대화 내용과 Claude의 요청 액션을 분석하여, 해당 액션이 사용자의 요청 범위 내에 있는지, 신뢰할 수 없는 인프라를 대상으로 하지는 않는지, 그리고 외부에서 주입된 악의적 지시의 영향을 받지는 않았는지를 판단합니다. 이 과정이 모두 백그라운드에서 투명하게 이루어지기 때문에 사용자는 작업 흐름을 끊지 않고도 AI와 협업할 수 있습니다.
2. 기존 방식의 한계 — 왜 Auto mode가 필요한가
Claude Code가 처음 공개되었을 때, 보안을 위해 모든 파일 수정 및 명령 실행에 사용자 승인이 필요했습니다. 이 설계 원칙은 매우 합리적이었지만, 실제 사용 현장에서는 몇 가지 심각한 불편함을 만들어냈습니다.
대규모 레거시 코드베이스를 리팩토링하는 시나리오를 생각해보겠습니다. 수백 개의 파일에 걸쳐 있는 의존성을 업데이트하고, 수십 개의 테스트를 수정하고, 린트 오류를 일괄 처리하는 작업에서 Claude Code는 각각의 파일 수정마다 승인을 요청합니다. 개발자는 이 팝업들에 기계적으로 응답하면서 진정한 집중이 필요한 코드 리뷰 자체에 집중하기 어려웠습니다.
또한 CI/CD 파이프라인이나 야간 자동화 스크립트에서 Claude Code를 활용하려면 어떻게 해야 할까요? 기존에는 --dangerously-skip-permissions 플래그를 사용하는 수밖에 없었는데, 이 옵션은 이름 그대로 모든 보안 검사를 비활성화하므로 격리된 컨테이너 환경에서만 안전하게 사용할 수 있었습니다. 일반 개발 환경에서 이 플래그를 사용하는 것은 사실상 AI에게 무제한 권한을 주는 것과 같아서 현실적인 대안이 되지 못했습니다.
기존 방식의 주요 문제점
Anthropic은 개발자 커뮤니티의 피드백을 수렴하여 이 문제에 대한 해법으로 Auto mode를 설계했습니다. 핵심 아이디어는 간단합니다. 사람이 매번 승인하는 대신, 더 정확하고 피로하지 않는 AI 분류기에게 안전성 판단을 위임하는 것입니다.
3. Auto mode 활성화 방법
Auto mode를 사용하려면 몇 가지 사전 조건이 있습니다. 우선 팀(Team) 플랜 이상이어야 합니다. 엔터프라이즈와 API 지원은 순차적으로 확대 중입니다. 또한 팀 플랜이라도 관리자가 먼저 Claude Code 어드민 설정에서 Auto mode를 활성화해야 팀원들이 사용할 수 있습니다. 모델은 Claude Sonnet 4.6 또는 Claude Opus 4.6만 지원하며, Haiku나 Claude 3 시리즈, 그리고 Bedrock·Vertex·Foundry 같은 서드파티 프로바이더에서는 사용할 수 없습니다.
▲ CLI 플래그, settings.json, Shift+Tab 세 가지 Auto mode 활성화 방법
CLI에서 활성화
가장 간단한 방법은 Claude Code 실행 시 플래그를 추가하는 것입니다. claude --permission-mode auto 명령으로 즉시 Auto mode로 세션을 시작할 수 있습니다. 이미 실행 중인 세션에서는 Shift+Tab 키를 눌러 모드를 순환시킬 수 있습니다. 기본 순서는 default → acceptEdits → plan → auto이며, auto는 --enable-auto-mode 플래그를 추가한 경우에만 순환 목록에 포함됩니다.
기본값으로 설정하려면 ~/.claude/settings.json 파일에 "defaultMode": "auto"를 추가하면 됩니다. 비대화형 모드에서도 -p 플래그와 함께 동일하게 사용할 수 있어 CI 파이프라인 자동화에도 활용 가능합니다.
▲ 팀 플랜 관리자 설정 및 지원 모델 확인
VS Code & Desktop에서 활성화
VS Code 확장에서는 먼저 설정에서 "Allow dangerously skip permissions" 옵션을 활성화해야 Auto mode 선택지가 나타납니다. 이후 프롬프트 박스 하단의 모드 선택기를 클릭하면 드롭다운에서 "Auto"를 선택할 수 있습니다. Claude Desktop 앱에서도 동일하게 설정 페이지에서 Auto mode를 먼저 허용한 뒤, 전송 버튼 옆의 모드 선택기에서 "Auto"를 선택합니다.
▲ VS Code에서 Auto mode 활성화 설정 방법
4. Auto mode 작동 원리 상세
Auto mode가 어떻게 작동하는지 이해하면 더 효과적으로 활용할 수 있습니다. Claude가 어떤 액션을 취하려 할 때, 이 액션은 다음 순서로 평가됩니다.
▲ Auto mode 안전 검사 파이프라인 — 5단계 평가 흐름
1단계 — allow/deny 규칙 우선 적용: 사전에 설정해둔 /permissions allow·deny 규칙이 가장 먼저 평가됩니다. 여기서 명시적으로 허용되거나 거부된 액션은 분류기를 거치지 않고 즉시 결정됩니다. 단, Auto mode 진입 시 Bash(*)처럼 임의 코드 실행을 허용하는 광범위한 allow 규칙은 자동으로 드롭됩니다. 세션 종료 후 복원됩니다.
2단계 — 읽기 전용 및 작업 디렉토리 체크: 읽기 전용 액션이나 현재 작업 디렉토리 내의 파일 편집은 분류기 없이 즉시 자동 승인됩니다. 이를 통해 대부분의 일반 코딩 작업이 추가 비용 없이 빠르게 처리됩니다.
3단계 — 분류기 검토: 위 두 조건에 해당하지 않는 액션, 즉 셸 명령 실행이나 네트워크 요청 등은 별도의 Claude Sonnet 4.6 분류기 모델에게 전달됩니다. 분류기는 대화 내역(사용자 메시지와 Claude 요청 액션만, Claude 응답 텍스트와 툴 결과는 제외)과 CLAUDE.md 내용을 바탕으로 해당 액션이 안전한지 판단합니다.
보안 설계 포인트: 분류기는 툴 결과를 입력으로 받지 않습니다. 따라서 Claude가 읽은 파일이나 웹 페이지에 악의적인 프롬프트 인젝션 공격이 담겨 있어도, 그 내용이 분류기에 직접 영향을 미치지 않습니다. 이것이 Auto mode가 bypassPermissions보다 안전한 핵심 이유입니다.
5. 실전 사용 시나리오
시나리오 1: 대규모 마이그레이션 자동화
레거시 인증 시스템을 OAuth2로 전면 교체하는 작업을 Auto mode로 실행해봅니다. 수동 승인 모드였다면 수십 번의 클릭이 필요했을 작업이 Auto mode에서는 어떻게 처리되는지 살펴보겠습니다.
▲ Auto mode로 OAuth2 마이그레이션 — 12개 파일 수정·패키지 설치·테스트 실행까지 승인 0회
작업 디렉토리 내 파일 읽기와 편집, 선언된 패키지 설치(npm install passport-oauth2), 테스트 실행(npm test) 모두 자동으로 승인되어 전 과정이 중단 없이 완료됩니다. 12개 파일 수정과 3개 파일 추가, 47개 테스트 통과까지 사용자는 한 번도 팝업에 응답할 필요가 없었습니다.
시나리오 2: 분류기 차단과 자동 대안 제시
Auto mode의 분류기가 차단하는 상황도 경험해봤습니다. main 브랜치에 직접 force push를 요청했을 때, 분류기가 이를 "파괴적 소스 컨트롤 작업"으로 분류하여 차단했습니다. 단순히 막는 것으로 끝나지 않고, Claude가 자동으로 새 브랜치를 생성하고 PR을 여는 대안을 제시하여 작업 흐름이 유지되었습니다.
▲ 분류기가 force push 차단 후 PR 생성으로 자동 대안 실행
이것이 Auto mode의 진정한 가치입니다. 단순히 "허용/차단"으로 끝나는 것이 아니라, 차단 이유를 Claude에게 전달하여 대안을 시도하게 합니다. 사용자의 최종 목표(코드를 원격 저장소에 공유하는 것)는 달성하면서도 잠재적으로 위험한 방법(force push to main)은 피할 수 있었습니다.
시나리오 3: 장기 자율 실행 모니터링
전체 테스트 스위트 67개 파일을 리팩토링하는 장기 작업에서 Auto mode를 활용했습니다. tmux로 분할된 화면에서 메인 세션, 분류기 로그, 테스트 결과, 시스템 상태를 동시에 모니터링했습니다.
▲ Auto mode 장기 실행 — 메인 세션·분류기 로그·테스트·시스템 상태 동시 모니터링
14분 동안 89개의 액션이 자동 승인되었고 차단은 0건이었습니다. 분류기 레이턴시는 액션당 약 180ms로, 사람이 팝업을 클릭하는 것보다 훨씬 빠릅니다. 토큰 비용은 약 15% 증가했지만, 개발자 시간 절약과 집중력 유지를 고려하면 충분히 합리적인 트레이드오프입니다.
6. 분류기 규칙 커스터마이징
Auto mode의 분류기는 기본적으로 작업 디렉토리와 현재 레포의 설정된 원격 저장소만 신뢰합니다. 회사의 GitHub 조직, S3 버킷, 내부 CI 서버 등은 처음에는 알 수 없는 외부 환경으로 취급되어 관련 액션이 차단될 수 있습니다. 이를 해결하는 것이 autoMode.environment 설정입니다.
▲ autoMode.environment 설정으로 기업 인프라 신뢰 등록 및 오탐 해결
설정은 ~/.claude/settings.json(개인 설정), .claude/settings.local.json(프로젝트별, gitignore됨), 또는 관리자 매니지드 설정(전체 조직)에서 적용할 수 있습니다. 보안을 위해 공유 프로젝트 설정인 .claude/settings.json에서는 읽지 않습니다. 악의적인 레포가 자체 allow 규칙을 주입하는 것을 방지하기 위해서입니다.
environment 항목은 정규식이나 패턴이 아닌 자연어 산문으로 작성합니다. 분류기가 이를 자연어 규칙으로 해석하기 때문입니다. 조직 이름, 용도, 소스 컨트롤 호스트, 신뢰하는 클라우드 버킷, 내부 도메인, 주요 내부 서비스를 명확하게 기술할수록 오탐이 줄어듭니다.
▲ 분류기 기본 차단 목록(soft_deny)과 허용 목록(allow) 완전 정리
기본 차단 목록을 수정하려면 claude auto-mode defaults 명령으로 전체 기본 규칙을 확인한 뒤, 이를 복사하여 설정 파일에 붙여넣고 필요한 항목만 수정하는 것이 안전합니다. 중요: allow나 soft_deny를 설정하면 해당 섹션의 기본값 전체가 교체됩니다. 단 하나의 항목만 추가해도 나머지 기본 규칙이 모두 사라지므로 반드시 전체 목록을 복사한 후 수정해야 합니다.
7. Permission modes 전체 비교
Auto mode를 포함하여 Claude Code가 지원하는 전체 Permission modes를 비교해봅니다. 각 모드의 특성을 이해하면 상황에 맞는 최적의 모드를 선택할 수 있습니다.
▲ Claude Code Permission modes 종합 비교 — default/acceptEdits/plan/auto/dontAsk/bypassPermissions
default 모드는 파일 편집과 명령 실행 모두 수동 승인이 필요한 기본값입니다. 처음 작업하는 민감한 코드베이스나 신중한 접근이 필요할 때 적합합니다.
acceptEdits 모드는 파일 편집은 자동 승인하되 명령 실행만 수동 승인합니다. 코드 리뷰를 반복하면서 빠르게 변경사항을 적용할 때 유용합니다.
plan 모드는 Claude가 파일을 읽고 계획을 세울 수 있지만 실제 수정이나 명령 실행은 할 수 없습니다. 코드베이스를 탐색하거나 구현 전략을 수립할 때, 또는 Claude의 접근 방식을 먼저 검토하고 싶을 때 사용합니다.
auto 모드(신기능)는 분류기 AI가 백그라운드에서 각 액션을 심사하여 안전한 것은 자동 승인합니다. 장기 자율 실행이나 반복 작업에 이상적이며, 편의성과 안전성의 균형을 추구합니다.
dontAsk 모드는 사전 승인된 툴만 허용하고 나머지는 모두 자동 거부합니다. CI 파이프라인처럼 허용할 명령을 정확히 알고 있는 환경에서 사용합니다.
bypassPermissions 모드는 모든 검사를 생략합니다. 격리된 컨테이너나 VM 환경에서만 사용해야 하며, 일반 개발 환경에서는 절대 사용하지 않는 것을 권장합니다. Auto mode가 없었던 시절의 차선책이었지만, 이제는 Auto mode가 훨씬 나은 대안을 제공합니다.
8. 주의사항 & 제한사항
Auto mode는 강력하지만 완벽하지 않습니다. 몇 가지 중요한 제한사항과 주의사항을 명확히 인식해야 합니다.
▲ 폴백 발동 시나리오 — 연속 차단 후 수동 승인 전환 및 피드백 프로세스
폴백이 반복적으로 발생한다면 두 가지 원인을 먼저 의심해보세요. 첫 번째는 요청한 작업 자체가 분류기가 막도록 설계된 위험한 액션을 포함하는 경우로, 이 경우 작업 방식을 변경하는 것이 좋습니다. 두 번째는 회사 인프라를 분류기가 알지 못해 안전한 액션을 오탐하는 경우로, 이때는 관리자가 autoMode.environment를 설정해주면 해결됩니다.
9. 자주 묻는 질문 (FAQ)
bypassPermissions는 모든 권한 검사를 완전히 비활성화합니다. 격리된 컨테이너나 VM에서만 안전하게 사용할 수 있습니다. 반면 Auto mode는 백그라운드 분류기 AI가 각 액션을 실시간으로 검토하여 잠재적으로 위험한 액션을 차단합니다. 즉, Auto mode는 편의성(자동 승인)과 안전성(분류기 검사)을 모두 제공하는 균형 잡힌 옵션입니다. Anthropic은 일반 개발 환경에서 Auto mode를, 격리된 환경에서만 bypassPermissions를 권장합니다.
분류기는 사용자가 명시적으로 해당 액션을 직접 요청한 경우(예: "force push를 실행해줘"처럼 구체적으로 명시한 경우)에는 차단 규칙보다 명시적 사용자 의도를 우선합니다. 단, "코드를 정리해줘" 같은 일반적인 요청은 force push를 암묵적으로 허용하지 않습니다. 특정 액션을 반복적으로 허용하고 싶다면 autoMode.allow 설정을 통해 예외를 추가하거나, permissions.allow 규칙으로 분류기 자체를 우회할 수 있습니다.
분류기 호출은 일반 API 호출과 동일하게 토큰 사용량으로 집계됩니다. 분류기가 호출될 때마다 대화 트랜스크립트의 일부(사용자 메시지와 Claude의 툴 요청)가 전송됩니다. 읽기 전용 액션과 작업 디렉토리 내 파일 편집은 분류기를 거치지 않으므로 추가 비용이 없습니다. 일반적으로 셸 명령과 네트워크 요청이 많은 작업에서 약 10~20%의 토큰 비용 증가가 발생합니다.
현재 Auto mode는 팀(Team) 플랜 이상에서만 지원됩니다. 엔터프라이즈와 API 사용자 지원은 순차적으로 확대 중이라고 Anthropic이 발표했습니다. 프리 플랜과 프로 플랜 사용자는 현재 지원되지 않으며, 이 부분은 향후 업데이트에서 변경될 수 있습니다. 만약 팀 플랜이 있다면 관리자에게 Auto mode 활성화를 요청하세요.
네, Auto mode는 서브에이전트에도 적용됩니다. Claude가 서브에이전트를 생성하려 할 때 분류기가 먼저 위임된 작업의 안전성을 검토합니다. 서브에이전트 내부에서도 각 툴 호출이 부모 세션과 동일한 규칙으로 분류기 검사를 거칩니다. 서브에이전트가 종료되면 분류기가 전체 액션 이력을 검토하며, 서브에이전트가 실행 중 외부 콘텐츠에 의해 조작되었을 가능성을 확인합니다. 이상이 발견되면 서브에이전트 결과에 보안 경고가 추가됩니다.
10. 결론 — Auto mode로 개발 경험이 어떻게 바뀌나
Claude Code Auto mode는 AI 코딩 도구와 개발자의 관계를 한 단계 발전시키는 중요한 이정표입니다. 지금까지 AI 코딩 어시스턴트의 자율성과 안전성은 트레이드오프 관계로 인식되었습니다. 더 많은 자율성을 허용하면 위험이 증가하고, 안전성을 높이면 불편함이 늘어나는 구도였습니다.
Auto mode는 이 딜레마에 제3의 해법을 제시합니다. 사람이 직접 감시하는 대신 AI 분류기가 안전성을 판단하게 함으로써, 수동 승인의 피로 없이도 수준 높은 보안을 유지할 수 있게 된 것입니다. 분류기가 툴 결과를 입력으로 받지 않는 설계는 프롬프트 인젝션 공격에 대한 견고한 방어선을 제공하며, 폴백 메커니즘은 분류기의 실수가 세션 전체를 망가뜨리는 것을 막아줍니다.
물론 아직 Research Preview 단계이므로 완벽하지 않습니다. 분류기의 오탐과 추가 토큰 비용은 실제 사용에서 체감할 수 있는 단점입니다. 특히 기업 인프라를 처음 사용할 때는 환경 설정(autoMode.environment)을 통해 신뢰할 수 있는 인프라를 등록해주는 초기 설정 작업이 필요합니다.
그럼에도 Auto mode는 대규모 리팩토링, 장기 자율 작업, 야간 자동화 파이프라인 등 승인 피로가 심했던 시나리오에서 개발자 경험을 혁신적으로 개선해줍니다. 팀 플랜을 사용하는 개발팀이라면 관리자에게 Auto mode 활성화를 요청하고, 먼저 안전한 실험 프로젝트에서 테스트해볼 것을 권장합니다.
✨ 핵심 요약
Auto mode = 분류기 AI의 실시간 안전 심사 + 자동 승인
장기 자율 작업과 반복 자동화에 최적 · 팀 플랜 이상 · Sonnet/Opus 4.6 필수
bypassPermissions보다 안전하고, default보다 편리한 중간 지점
'AI > Claude' 카테고리의 다른 글
| Claude Pro, Max, Team추가 사용량 크레딧 무료 지급! (0) | 2026.04.05 |
|---|---|
| Agent Skills with Anthropic 스킬 시스템으로 AI 에이전트를 전문가로 만드는 방법 (0) | 2026.04.02 |
| Claude 신기능 리뷰 — 말 한마디로 웹앱이 나오는 시대 | Artifacts 인터랙티브 시각화 (0) | 2026.03.25 |
| Claude Computer Use 완전 정복: AI가 내 컴퓨터를 직접 조종한다 (0) | 2026.03.25 |
| Claude Cowork Dispatch 사용 후기+ OpenClaw 비교 분석 (0) | 2026.03.24 |
