帖子说了什么
@csehra42 引用 Anthropic 公布的数据：auto mode 分类器大约拦住 89% 的危险命令——反过来就是大约 九分之一 仍可能通过。他的做法是：在分类器前面保留一份朴素的 deny 列表，专门罩住不可撤销的动作，例如 force push、删除工作区外的文件。
和官方说法是否一致
Anthropic 关于 auto mode 默认化的说明强调：自动检查能降低误点「允许」的风险，但不能消除风险；对生产基础设施等高风险改动，仍建议人工把关。权限模型里，permissions.deny 在所有模式（含 bypass）都会拦截，评估顺序也是 deny 优先于 ask / allow（见设置参考）。因此「分类器 + deny」是互补，不是二选一。
落地做法
- 在
~/.claude/settings.json或项目 settings 写入明确 deny，例如匹配git push --force、危险rm路径、生产部署脚本前缀。 - 对「钱、删、生产」类任务，会话里切回手动批准（
Shift+Tab或界面下拉）。 - 升级 Claude Code 后用一次金丝雀：故意触发 deny 规则，确认 Recently denied 里看得到。
- 不要把「点过 50 次允许」当成安全策略；疲劳批准本来就拦不住漏网的那一成。
小结
89% 是很好的底线，不是天花板。不可撤销的操作，用 deny 写成硬门闩，比指望分类器永远猜对更稳。
