TL;DR: l’auto mode di Claude Code riduce le approvazioni ripetitive, ma non sostituisce i confini operativi. Usalo in una copia di lavoro, blocca produzione e credenziali, e tieni un gate umano prima delle azioni esterne.

Il problema: approvare tutto non significa controllare

Quando un agente AI chiede conferma per ogni lettura, comando e modifica, dopo pochi minuti il controllo diventa meccanico. Anthropic ha misurato che gli utenti di Claude Code approvano il 93% delle richieste di permesso. Il numero racconta bene il problema: più prompt vediamo, meno attenzione dedichiamo a quello che stiamo autorizzando.

Su un progetto WordPress questo è pericoloso. Un comando può limitarsi a lanciare i test oppure può toccare il database, pubblicare una bozza o leggere una credenziale. Trattare queste azioni allo stesso modo produce rumore, non sicurezza.

La soluzione: autonomia dentro un perimetro piccolo

Claude Code include un auto mode che affida le approvazioni a controlli automatici. La documentazione ufficiale lo include nel ciclo dei permission mode e permette di avviarlo con:

claude --permission-mode auto

Anthropic descrive due livelli di difesa: un controllo sugli output che entrano nel contesto, pensato per intercettare tentativi di prompt injection, e un classificatore che valuta le azioni prima dell’esecuzione. È una via intermedia tra la conferma manuale continua e la disattivazione completa dei permessi.

Il punto pratico, però, viene prima del comando: ridurre il blast radius. L’agente deve poter fare molto solo nell’area in cui un errore è recuperabile.

Quattro passaggi essenziali

  1. Lavora su una copia. Usa un branch o un ambiente staging, mai il sito di produzione come banco di prova.
  2. Separa le credenziali. I file con secret restano fuori dal repository e non entrano nel contesto se il task non li richiede.
  3. Definisci i divieti. Deploy, pubblicazione, invio email, modifiche al database e comandi distruttivi richiedono un gate esplicito.
  4. Chiedi prove verificabili. Prima del gate umano l’agente deve mostrare diff, test eseguiti e piano di rollback.

È lo stesso principio che vale quando scegli tra sandbox e backup per un agente che lavora sui tuoi file: il backup aiuta a recuperare, la sandbox limita ciò che può essere danneggiato. Servono entrambi, con ruoli diversi.

L’errore da evitare

Non sostituire la stanchezza da approvazione con --dangerously-skip-permissions. La reference di Claude Code chiarisce che questa opzione salta i prompt; Anthropic la considera priva di protezioni nella maggior parte degli scenari. È comoda proprio quando non dovrebbe esserlo: repository con credenziali, accesso di rete o comandi verso servizi reali.

La take finale

L’autonomia utile non nasce da un agente che può fare tutto. Nasce da un ambiente progettato perché possa procedere senza interromperti sulle azioni reversibili e debba fermarsi su quelle costose. Meno conferme, ma migliori. Questo è il guardrail che una PMI può applicare oggi, senza costruire una piattaforma di sicurezza.

Fonti