Claude Code 권한 모드 고르기: 수동·plan·auto·dontAsk는 언제 쓰나

Claude Code 2.1.285부터 텔레메트리를 끈 claude -p 세션도 auto로 시작한다고 해서, Windows 11에서 직접 돌려 봤습니다. 처음에 --model haiku로 돌렸더니 텔레메트리를 꺼도, 심지어 --permission-mode auto를 줘도 시작 모드가 default였어요. 여기서 한 번 헷갈렸습니다.

이유는 간단했습니다. 그때 haiku가 가리키던 Haiku 4.5는 어느 제공자에서도 auto를 지원하지 않고, 어디서 auto가 뽑혔든 그 세션에서 auto를 쓸 수 없으면 수동으로 시작하거든요. 모델을 sonnet으로 바꾸니 텔레메트리를 끈 쪽이 정말 auto로 시작했습니다.

지금은 사정이 다릅니다. 2.1.293부터 Anthropic API에서 haiku가 Haiku 5.5로 풀리는데, Haiku 5.5는 auto를 지원해요. 10월 12일에 2.1.296으로 다시 돌려 보니 --model haiku에 auto 모드를 지정한 세션이 그대로 auto로 시작했습니다.

권한 모드는 이름만 보고 고르면 되는 것 같지만, 실제로 어느 모드로 시작하는지는 플래그·설정 파일·버전·모델이 같이 정하더라고요.

고르는 기준 자체는 단순하게 가져가길 권합니다. 저는 “묻지 않고 한 일이 틀렸을 때 되돌릴 수 있느냐”로 고릅니다.

되돌리기 쉬운 파일 편집만 맡길 거면 acceptEdits, 되돌리기 어려운 명령이 섞이는 긴 작업이면 분류기가 뒤에서 검사하는 auto, 고치기 전에 훑기만 할 거면 plan, 사람이 답할 수 없는 파이프라인이면 dontAsk입니다. bypassPermissions는 격리된 컨테이너나 VM 밖에서 쓰는 모드가 아니에요.

2026년 9월 25일 공식 문서(권한 모드, auto 모드 설정) 기준이고, 내장 기본값은 10월 2일에 다시 확인했습니다. 명령줄 동작은 Ubuntu 24.04 · Claude Code 2.1.282와 Windows 11 · PowerShell 5.1 · Claude Code 2.1.286 테스트 환경에서 직접 확인했습니다. Shift+Tab 순환과 Bash 승인 화면은 10월 13일 Windows 11 · Claude Code 2.1.296에서 직접 띄워 봤습니다.

모드 위에 얹는 규칙은 allow·deny 규칙 문법과 자주 새는 패턴에서 다뤘습니다.

여섯 모드, 묻지 않고 어디까지 하나

claude --permission-mode wat

error: option '--permission-mode <mode>' argument 'wat' is invalid. Allowed choices are acceptEdits, auto, bypassPermissions, manual, dontAsk, plan.

2.1.282에서 일부러 틀린 값을 넣으니 고를 수 있는 모드 여섯 개가 나왔습니다. 각 모드가 묻지 않고 하는 일은 이렇습니다.

모드	묻지 않고 하는 일	맞는 쓰임
수동(default)	읽기만	민감한 작업, 모든 동작 검토
acceptEdits	읽기, 파일 편집, mkdir·mv·cp 같은 파일 명령	검토하며 코드를 반복해 고칠 때
plan	읽기(auto가 되면 분류기가 승인한 명령도)	고치기 전에 훑을 때
auto	전부, 단 뒤에서 분류기 검사	긴 작업, 프롬프트 피로 줄이기
dontAsk	읽기와 미리 허용한 도구만, 나머지는 거부	잠근 CI와 스크립트
bypassPermissions	전부	격리된 컨테이너·VM에서만

수동 모드도 모든 동작에서 묻지는 않습니다. 파일을 고치거나 셸 명령을 돌리거나 네트워크에 닿는 대부분의 동작 앞에서 멈추지만, 작업 폴더 안 파일 읽기와 내장 읽기 전용 Bash 명령은 그냥 해요.

이름도 둘입니다. 화면(CLI·VS Code·JetBrains·데스크톱 앱)에는 Manual로 보이고 설정 파일·훅·SDK에서는 default로 적습니다.

CLI는 manual도 받고(v2.1.200 이상), 위 목록에 없는 --permission-mode default도 직접 넣어 보니 오류 없이 받아들여졌어요. 한 프로젝트 안에서는 하나로 통일해 두면 나중에 찾기 쉽습니다.

비슷해 보이는 셋은 처음에 갈라 두는 게 좋습니다. plan은 고치지 않고 계획만 하고, dontAsk는 물어야 할 것을 거부하고, bypassPermissions는 물어야 할 것을 실행합니다. 셋 다 프롬프트가 줄지만 결과는 정반대예요.

프롬프트가 귀찮으면 그냥 bypassPermissions로 두고 싶어지죠. 하지만 이 모드는 프롬프트 인젝션이나 의도치 않은 동작을 하나도 막아 주지 않습니다. 프롬프트를 크게 줄이면서 안전 검사도 받고 싶다면 auto가 그 자리입니다.

시작 모드가 정해지는 순서

새 세션은 아래 셋 중 처음 값이 있는 곳에서 모드를 가져옵니다.

1. --permission-mode 플래그, 또는 --dangerously-skip-permissions
2. 설정 파일의 permissions.defaultMode
3. 내장 기본값

프로젝트 파일의 auto는 안 먹는다

두 번째 자리에 함정이 있습니다. .claude/settings.json이나 .claude/settings.local.json에 적은 "auto"는 적용되지 않고, 사용자 설정의 defaultMode도 건너뛴 채 내장 기본값으로 시작합니다. 같은 파일의 "bypassPermissions"도 무시되고 수동으로 시작하고요.

그러니 auto와 bypassPermissions는 사용자 설정(~/.claude/settings.json)이나 플래그로 켜야 합니다.

다른 값은 어느 파일에서든 됩니다. 팀 전체를 plan이나 acceptEdits로 시작하게 하는 건 문제없어요. 여러 파일이 값을 두면 설정 파일 우선순위가 정합니다.

아무것도 안 정했을 때

내장 기본값은 아래 중 위에서부터 처음 맞는 줄을 따릅니다.

• 어느 설정 파일이든 disableAutoMode가 "disable" → default
• claude -p·Agent SDK → 기능 플래그를 가져오면 default. 서드파티 제공자나 텔레메트리 끄기로 기능 플래그를 가져오지 않으면 v2.1.285 이상은 auto, 낮으면 default. 조직 정책이 auto 기본값을 막으면 default
• 터미널·VS Code 확장 → v2.1.283 이상은 플랜·제공자와 관계없이 auto. 낮으면 기능 플래그를 가져오는 Pro·Max·Team만 auto

도입에서 말한 -p의 조건이 2.1.285에서 생긴 것입니다. Windows 11 · 2.1.286에서 DISABLE_TELEMETRY를 켜고 끄며 claude -p를 돌려 본 결과는 이렇습니다.

$env:DISABLE_TELEMETRY = "1"
claude -p "Reply with the single word ok" --model sonnet

텔레메트리	모델	--permission-mode	시작 모드
켬	sonnet	없음	default
끔	sonnet	없음	auto
끔	sonnet	default	default
끔	haiku(Haiku 4.5)	auto	default

마지막 줄이 제가 처음에 헷갈렸던 그 경우예요. Haiku 5.5가 2.1.293에서 추가됐으니, 2.1.286의 haiku는 Haiku 4.5였습니다.

같은 줄을 10월 12일 Ubuntu 24.04 · 2.1.296에서 모델 ID를 확인하며 다시 돌린 결과는 이렇습니다. 둘 다 텔레메트리를 끄고 --permission-mode auto를 줬어요.

--model	실제 모델	시작 모드
haiku	claude-haiku-5-5	auto
claude-haiku-4-5	claude-haiku-4-5	default

별칭이 가리키는 모델이 바뀌자 같은 명령의 결과가 뒤집힌 거죠. 그래서 2.1.285 이상에서 -p를 돌린다면 시작 모드를 가정하지 말고 --permission-mode를 직접 넘기고, 확인은 실제로 쓸 모델로 하세요.

버전 경계도 몇 개 있습니다.

조건	버전
모든 플랜에서 대화형 세션이 auto로 시작	v2.1.283 이상
내장 기본값이 auto가 될 수 있음(macOS·Linux·WSL)	v2.1.228 이상
내장 기본값이 auto가 될 수 있음(네이티브 Windows)	v2.1.233 이상

설치나 업그레이드 직후 첫 세션은 기능 플래그가 오기 전에 모드를 골라 위 목록과 다르게 시작할 수 있고, 다음 세션부터 목록을 따릅니다.

auto 자체는 모든 플랜에서 쓸 수 있지만 모델 조건이 있습니다. Haiku는 5.5만 되고 4.5는 어느 제공자에서도 안 됩니다. Bedrock·Google Cloud Agent Platform·Microsoft Foundry에서 Haiku 5.5로 auto를 쓰려면 v2.1.293 이상이어야 해요.

이 제공자들과 Claude Platform on AWS에서는 haiku 별칭이 아직 Haiku 4.5로 풀립니다. 별칭만 믿으면 auto가 꺼진 채 시작하니, Haiku 5.5를 쓰려면 모델 ID를 직접 지정하세요.

Team·Enterprise 관리자는 permissions.disableAutoMode로 조직 전체에서 끌 수 있습니다. 설정이 껐거나 모델이 지원하지 않거나 Anthropic이 서버 쪽에서 잠시 꺼 두면 auto가 뽑혀도 수동으로 시작해요.

세션 중에 Shift+Tab으로 바꿀 때

세션 중에는 Shift+Tab으로 바꿉니다. auto에서 처음 누르면 default로 가고, 그다음은 default → acceptEdits → plan 순이고, plan 다음은 auto를 쓸 수 있으면 auto, 아니면 다시 default예요. 상태 표시줄에는 ⏸ manual mode on(회색), ⏵⏵ accept edits on, ⏸ plan mode on, ⏵⏵ auto mode on, ⏵⏵ don't ask on, ⏵⏵ bypass permissions on이 보입니다.

Windows 11에서 auto로 시작한 세션에서 다섯 번 눌러 보니 하단 표시가 auto mode on → manual mode on → accept edits on → plan mode on → auto mode on으로 바뀌었습니다. bypass를 켜 두지 않았으니 plan 다음이 바로 auto였어요.

순환에 늘 있지는 않은 모드도 있습니다.

• auto는 쓸 수 있을 때만 나오고, 들어갈 때 확인을 묻지 않습니다.
• bypassPermissions는 이 모드나 --dangerously-skip-permissions·--allow-dangerously-skip-permissions로 시작했거나, 사용자·--settings·관리 설정의 defaultMode가 이 값일 때만 나옵니다. --allow- 쪽은 순환에 넣기만 하고 켜지는 않아요.
• dontAsk는 순환에 없습니다. --permission-mode dontAsk로 켭니다.

켜 둔 선택 모드는 plan 뒤에 bypassPermissions, 그다음 auto 순으로 들어갑니다. 둘 다 켜 두면 auto로 가는 길에 bypassPermissions를 지나니, 빠르게 돌리다 한 칸 더 간 채 멈추지 않게 상태 표시줄을 꼭 보세요.

수동과 acceptEdits에서는 Bash 승인 프롬프트에 Yes, and switch to auto mode가 붙는데(auto를 쓸 수 있을 때, v2.1.247 이상), 직접 적은 ask 규칙이나 훅이 강제한 프롬프트에는 붙지 않습니다. 그 프롬프트는 auto에서도 뜨기 때문이에요.

수동 모드에서 mkdir demo-dir을 시키자 이런 승인 화면이 떴습니다. 3번이 그 선택지고, 2번은 이 폴더 접근을 프로젝트 설정에 저장하는 선택지예요.

같은 수동 모드에서 echo는 묻지 않고 바로 실행됐습니다. 승인 화면은 mkdir에서 떴고요.

VS Code에 Allow this bash command?가 뜰 때

VS Code 확장이 Bash 도구로 셸 명령을 실행하기 전에 띄우는 승인 카드 제목이고, 실행하려는 명령이 함께 나옵니다. Windows의 PowerShell 명령이면 Allow this PowerShell command?입니다(두 문구는 확장 2.1.288 패키지에서 확인했습니다).

이 카드가 뜰지는 권한 모드가 정하고, 승인 선택지 중 규칙이나 폴더 접근을 저장하는 것은 라벨 끝에 “all projects”·“this session” 같은 저장 위치가 붙습니다. 매번 묻는 게 번거로우면 필요한 명령만 allow 규칙으로 열어 두세요.

plan과 auto의 속사정

plan은 고치지 않는다, 예외 하나만 빼고

plan 모드에서 Claude는 파일을 읽고 탐색용 셸 명령을 돌리고 계획을 쓰지만 소스는 고치지 않습니다. 계획을 승인할 때까지 편집이 막혀요. 계획 중 셸 명령은 auto를 쓸 수 있고 useAutoModeDuringPlan이 켜져 있으면(기본값) 분류기가 대신 검토하고, 아니면 내장 읽기 전용 명령 밖은 묻습니다(샌드박스 auto-allow를 켜도 묻습니다).

제가 보기에 가장 조심할 건 예외 쪽입니다. bypass permissions를 쓸 수 있는 대화형 터미널 세션에서는 Claude에게 계획만 하라고 지시는 하지만, 계획 중 시도한 편집과 명령이 분류기도 프롬프트도 없이 실행됩니다. -p 실행, Agent SDK, VS Code 확장의 채팅 패널에서는 plan의 차단이 그대로고요.

계획이 준비되면 auto로 시작, 편집을 하나씩 승인, 계획 더 다듬기 중에서 고르고, 승인하면 고른 선택지가 말하는 모드로 바뀝니다. auto를 쓸 수 없는 세션에서는 첫 선택지가 Yes, auto-accept edits로 보입니다. plan을 작업 순서에 끼우는 법은 plan 모드 사용법: 들어가는 법 3가지와 건너뛸 기준에 있습니다.

auto의 분류기가 막는 것

auto에서는 별도 분류기 모델이 동작을 실행 전에 검토합니다. 요청 범위를 넘어 커지는 동작, 모르는 인프라를 향한 동작, Claude가 읽은 적대적 내용에 끌려간 것으로 보이는 동작을 막고, 직접 적은 ask 규칙은 여기서도 프롬프트를 띄웁니다. 기본 규칙은 직접 꺼내 볼 수 있어요.

claude auto-mode defaults

2.1.282에서 나온 JSON을 갈래별로 세어 보니 이랬습니다. 평가는 표의 위에서 아래 순서이고, 마지막에 남은 소프트 차단은 명시적인 사용자 의도가 풉니다.

갈래	항목 수	하는 일
hard_deny	1	무조건 막음
soft_deny	70	막지만 예외·의도로 풀림
allow	17	맞는 soft_deny를 풀어 줌
environment	21	신뢰할 환경 정보

hard_deny 한 건은 Data Exfiltration:으로 시작했고, soft_deny에는 모두 named+specifics 표식이 붙어 있었습니다. 무엇을 이름으로 짚어 말해야 풀리는지 적어 둔 거예요. 막연한 요청은 의도로 치지 않아서, “저장소를 정리해 달라”는 force push 허락이 아니고 “이 브랜치를 force-push 해 달라”는 허락입니다.

기본 신뢰 범위는 작업 폴더와 현재 저장소의 리모트뿐입니다. 회사 소스 관리 조직에 푸시하거나 팀 클라우드 버킷에 쓰려면 autoMode.environment에 더해야 하고, 아무것도 설정하지 않으면 첫 항목이 **Organization**: None configured입니다.

autoMode는 프로젝트 설정 파일에서 읽히지 않는데, 체크인된 저장소가 자기 allow 규칙을 끼워 넣지 못하게 하기 위해서예요.

분류기가 한 동작을 연속 3회나 누적 20회 막으면 auto가 멈추고 프롬프트가 다시 뜹니다(횟수는 바꿀 수 없음). auto는 프롬프트를 줄여 줄 뿐 안전을 보장하지 않으니, 민감한 작업의 검토까지 맡기지는 마세요.

dontAsk와 bypass도 넘지 못하는 선

dontAsk는 원래 물었을 호출을 모두 자동 거부합니다. 그대로 도는 건 수동에서도 승인이 필요 없던 동작, permissions.allow에 맞는 동작, PreToolUse 훅이 승인한 호출이에요.

직접 적은 ask 규칙에 맞는 호출도 거부하고, AskUserQuestion처럼 사용자 답이 필요한 도구는 allow가 맞아도 거부합니다. 입력을 기다리며 멈추지 않는 게 목적이니까요.

bypassPermissions는 보호 경로 쓰기까지 바로 실행합니다. 대신 시작할 때 켜지 않았거나 순환에 넣지 않은 세션에서는 중간에 들어갈 수 없고, Linux·macOS에서 root나 sudo로 실행하면 --dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons를 내고 거부합니다(인식된 샌드박스 안은 예외).

클라우드 세션은 설정 파일의 defaultMode가 "bypassPermissions"나 "dontAsk"여도 조용히 무시하고, 드롭다운에는 Accept edits·Plan·Auto만 나옵니다(Accept edits가 default 자리).

bypassPermissions는 인터넷이 없는 컨테이너·VM·dev container처럼 호스트를 망가뜨릴 수 없는 곳에서만 쓰세요. 명령이 닿는 범위를 좁히는 것은 모드가 아니라 샌드박스의 일입니다.

어떤 모드도 다음은 자동 승인하지 않습니다.

• 직접 적은 ask 규칙, 조직이 ask로 둔 커넥터 도구
• 사용자 답이 필요한 도구(AskUserQuestion, requiresUserInteraction이 붙은 MCP 도구)
• 크리티컬 경로를 지우는 rm·rmdir(allow 규칙도 PreToolUse 훅의 "allow"도 승인 못 함)
• 교차 세션 메시징 안전장치
• permissions.blockReadsOutsideWorkingDirectories가 켜졌을 때 작업 폴더 밖 읽기(v2.1.257 이상)

모드마다 갈리는 건 보호 경로와 크리티컬 경로입니다. 보호 경로는 .git·.claude·.vscode 같은 폴더와 .bashrc·.npmrc·.mcp.json 같은 파일이고, 안전 검사가 allow보다 먼저 돌아서 permissions.allow로 미리 승인할 수 없습니다. 크리티컬 경로는 파일 시스템 루트와 그 바로 아래, 홈 폴더, Windows 드라이브 루트와 그 아래 최상위 폴더, 작업 폴더와 그 상위입니다.

모드	보호 경로 쓰기	크리티컬 경로 삭제
default·acceptEdits	물음	물음
auto	분류기	분류기
dontAsk	거부	거부
bypassPermissions	허용	물음

plan은 조건에 따라 갈립니다. 보호 경로 쓰기는 bypass를 쓸 수 있는 대화형 터미널이면 허용, 아니고 계획 중 auto를 쓸 수 있으면 분류기, 그 밖에는 묻습니다. 크리티컬 경로 삭제는 계획 중 auto를 쓸 수 있고 bypass가 없으면 분류기, 그 밖에는 묻습니다.

모드를 정해도 규칙은 여전히 필요합니다. deny는 모든 모드에서 막고, allow는 bypassPermissions에서 의미가 없어요.

auto에 들어가면 통짜 Bash(*)·PowerShell(*), Bash(python*) 같은 인터프리터 와일드카드, 패키지 매니저 실행 명령, Agent·Monitor allow처럼 임의 실행을 여는 넓은 규칙은 내려지고, Bash(npm test) 같은 좁은 규칙은 남았다가 auto에서 나오면 복구됩니다.

다른 사람들이 겪은 문제

아래 네 건은 공개된 GitHub 이슈의 보고입니다. 버전과 운영체제가 제각각이라 원인을 하나로 묶지 않았습니다.

defaultMode를 넣었는데 그 모드로 시작하지 않는다

Brimey(2026-04-16, #49273)는 사용자 설정에 defaultMode: "auto"를 두었는데 auto로 시작하지 않았고, /status는 Default permission mode: Auto mode로 보고했다고 했습니다(2.1.111 · macOS 15 · Max, not planned로 닫힘).

사용자 설정이었으니 프로젝트 파일 예외로는 설명되지 않고, 원인은 확정되지 않았습니다. 같은 증상이면 값이 프로젝트 파일에 있지 않은지, auto를 쓸 수 있는 조건(모델, disableAutoMode, 제공자)을 채웠는지 차례로 보고, 그래도 안 되면 --permission-mode로 넘기는 게 확실합니다.

plan만 켰는데 Auto mode is unavailable for your plan만 돌아온다

nurullah34(2026-04-14, #48066)는 사용자 설정에 defaultMode: "plan"을 넣자 모든 메시지에 이 문장만 돌아와 세션을 쓸 수 없었고, "default"로 되돌려도 새 컨텍스트 창을 열어야 풀렸다고 했습니다(2.1.90 · Windows 11 · Max, 중복으로 닫힘).

보고자는 plan이 auto 사용 가능 검사를 부르다 실패하는 것 같다고 추정했지만 확인된 원인은 없습니다. 설정 대신 claude --permission-mode plan으로 한 세션씩 켜 보면 설정값이 원인인지 가를 수 있어요.

plan 모드인데 파일이 고쳐진다

MarcorX(2026-03-29, #40623)는 bypass 모드에서 Shift+Tab으로 plan에 들어가도 도구가 계속 묻지 않고 실행됐다고 했습니다(macOS, not planned로 닫힘). 지금 문서 기준으로는 앞에서 본 plan의 예외 그대로의 동작입니다.

계획을 세울 세션은 bypass를 켜지 않고 --allow-dangerously-skip-permissions도 붙이지 않고 시작하세요. 순환에 넣기만 해도 차단이 풀립니다.

계획을 승인했더니 다시 프롬프트가 뜬다

cnighswonger(2026-05-16, #59843)는 bypassPermissions로 돌던 세션에서 Plan Approved 버튼으로 승인하자 default로 떨어졌다고 했습니다. 앞선 다섯 번은 슬래시 명령 흐름이었고 잘 돌아왔다고 덧붙였어요(2.1.131 · Linux, not planned로 닫힘).

원인은 확정되지 않았습니다. 승인 직후 상태 표시줄을 한 번 보는 게 가장 싸고, 사람이 없는 실행이라면 계획 승인 단계를 흐름에서 빼는 편이 안전합니다.

마치며

권한 모드는 여섯 개뿐이지만, 실제로 어느 모드로 시작하는지는 생각보다 많은 것이 같이 정합니다. 제가 Haiku 4.5로 돌렸다가 헷갈렸던 것처럼, 플래그로 auto를 줘도 모델이 지원하지 않으면 수동으로 시작해요. 같은 haiku 별칭도 버전과 제공자에 따라 가리키는 모델이 달라 결과가 바뀝니다. 그래서 저는 모드를 고를 때 되돌릴 수 있는 만큼만 묻지 않게 하고, 사람이 없는 실행에서는 시작 모드를 짐작하지 말고 플래그로 직접 넘기길 권합니다.

auto를 기본으로 쓰려면 프로젝트 파일이 아니라 ~/.claude/settings.json에 "permissions": {"defaultMode": "auto"}를 두세요. 지금 어느 모드인지는 상태 표시줄이 알려 줍니다. 모드 위에 얹을 규칙은 allow·deny 규칙 문법과 자주 새는 패턴으로 이어집니다.