Claude Code 2.1.304 实操：auto mode 打通四类云，Code Review 分三档

第一步：/auto-mode-setup 打通四类云环境

10 月 19 日，Claude Code 发布 v2.1.304，改动约 80 项。最实用的一条是 /auto-mode-setup 的覆盖范围扩大：这个引导式配置会读取你的项目结构和近期会话，帮 auto mode 认识当前环境。此前它只在常规 Anthropic 环境可用，现在扩展到 Amazon Bedrock、Google Vertex AI、Microsoft Foundry 和 Claude apps gateway，连关闭遥测的会话也能跑。

实操上就一条命令：在项目根目录执行 /auto-mode-setup，按提示确认识别到的模型供应商与工具集，生成的配置会落到项目级设置里。以前在 Bedrock 或 Vertex 上用 auto mode，需要手工拼一堆环境变量与 provider 声明，这一步现在被省掉了。如果团队一直在用这些云平台、却因为配置麻烦没开 auto mode，这版是最低成本的上车点。

第二步：Code Review 分三档，组织级一次注册

Code Review 这次拿到两个组织级能力。其一是审查深度分档：Quick、Standard（默认）、Deep，所有者可以在组织层设默认值，也能按仓库单独设不同档位。把高风险仓库设成 Deep、内部工具仓库设成 Quick，是在成本与覆盖率之间做显式取舍，而不再是一个全局开关。

其二是注册方式。过去是一个仓库一个仓库地加，现在可以一次把整个 GitHub 组织注册进来，之后新建的仓库会自动纳入。同时修掉了一个隐蔽 bug：管理员启用 Code Review 后一两分钟内开的 PR，此前会被静默排除在审查之外，现在会重试并补审。

另外新增 /claude-api managed-agents-secure 命令，把当前 Managed Agents 配置与 Anthropic 公布的安全指引逐项比对并输出结果。它只检查、不改动，适合放进上线前的检查清单。

第三步：把审批权收回到人手上

这一版真正花力气的地方是权限收紧，五处改动方向一致。

第一，mod 的 tool.check 返回值可以带 decider: person，意思是这次调用只能由权限弹窗或宿主回调批准；在没有人类可问的环境里，直接按 mod 给出的理由拒绝。第二，同一个事件现在带 isReadOnly 标志，mod 可以放行读操作、拦住写操作。第三，Managed mods 可以重写合并后的设置，让组织策略变成上限而不是默认值。第四，插件不能再通过 spawn 子代理来绕过 max-turns 或 Stop，无头运行不会被偷偷续命。第五，rm -r 作用在挂载盘上时，现在会像 rm -rf /Applications 一样弹出安全提示。

这些改动有明确背景。新加坡国立大学一篇题为 From Approval to Abuse 的论文指出，编码智能体在 58% 的实例里能被仓库里的不可信内容诱导，提出看似合理、实际过宽的 allow-rule；一旦用户批准，这条规则覆盖了 56.9% 的分类能力测试用例，在 58 个案例中有 47 个达成了静默的目标完成。攻击没有碰模型的拒答行为，它只改了人类被要求给予信任的那一个瞬间。

这篇论文的核心提醒是：批准一条规则，比批准一次动作是更大的决定，因为规则会活过这个任务。

还有两个小改动值得留意。Pro 和 Max 用户恢复一个长期闲置的会话时，现在会先提示这次恢复预计要吃掉 5 小时用量限额的多大一块，可以选继续或新开会话。以及退出工作树时提交丢失的问题被修掉了。如果团队已经在用 Code Review 覆盖多个仓库，或者正被 allow-rule 泛滥困扰，这版值得排一次升级。