Ejecutar Claude Code en autonomía: delegar el bucle, mantener el control

01Del asistente al agente autónomo

La mayoría de los desarrolladores usa Claude Code como un asistente al que hay que relanzar en cada paso. Existe otra forma de trabajar: usted fija una condición una vez y Claude sigue solo hasta que se cumple.

En el flujo habitual, el bucle es usted: escribe un prompt, Claude responde, usted revisa, relanza, veinte veces. En el flujo autónomo, usted pone una condición de parada, un control la verifica tras cada turno y, si no está hecho, Claude vuelve a empezar. Usted define el objetivo una sola vez.

02Las cuatro palancas

Cuatro mecanismos hacen el bucle automático. Cada uno se distingue por lo que dispara el turno siguiente y por su condición de parada, lo que decide que el trabajo ha terminado.

03Elegir la palanca adecuada

04El modo auto: autonomía con salvaguardas

El modo auto («auto mode») de Claude Code suprime las peticiones de confirmación de rutina. Un segundo modelo, el clasificador, examina cada acción antes de ejecutarla y bloquea lo irreversible, lo destructivo o lo dirigido fuera de su entorno.

Por qué existe: según el artículo de ingeniería de Anthropic del 25 de marzo de 2026, los usuarios aprueban el 93 % de las peticiones de confirmación. Con el tiempo, dejan de leerlas. El modo auto busca una autonomía alta con poco mantenimiento, sin eliminar todo control.

Dos capas de defensa

Una sonda en el servidor analiza lo que Claude lee (archivos, páginas web, salidas de comandos) y añade una advertencia si el contenido parece un intento de secuestrar al agente. El clasificador examina después cada acción antes de ejecutarla. Solo ve sus mensajes y las llamadas a herramientas de Claude, no sus explicaciones ni los resultados de las herramientas: el agente no puede, por tanto, convencerlo de dejar pasar una acción.

Qué pasa y qué se bloquea

• Permitido por defecto: las operaciones con archivos de la carpeta de trabajo, la instalación de dependencias declaradas en el proyecto, las peticiones HTTP de solo lectura y el envío de código a cualquier rama del repositorio en curso.
• Bloqueado por defecto: descargar y ejecutar código (curl | bash), enviar datos sensibles al exterior, los despliegues y migraciones en producción, el borrado masivo en almacenamiento en la nube, la concesión de permisos de acceso, el force push, la destrucción irreversible de archivos anteriores a la sesión y la fusión de una pull request que ninguna persona ha aprobado.

Por defecto, el clasificador solo confía en la carpeta de trabajo y en los repositorios remotos configurados para ella. Todo lo demás se trata como externo, mientras su organización no declare su infraestructura de confianza en el ajuste autoMode.environment.

Cómo activarlo

En el terminal, Mayús+Tab recorre los modos (Auto aparece cuando está disponible) y claude --permission-mode auto inicia una sesión directamente en este modo. Una organización con plan Team o Enterprise puede desactivarlo para todos sus puestos con el ajuste gestionado permissions.disableAutoMode.

Modo auto o «bypass permissions»

No son dos variantes del mismo ajuste. El modo bypassPermissions (indicador --dangerously-skip-permissions) desactiva las peticiones y los controles de seguridad: la documentación precisa que no ofrece ninguna protección frente a la inyección de prompt ni a las acciones no deseadas, y lo reserva a entornos aislados (contenedor, máquina virtual). El modo auto mantiene un control activo sobre cada acción. Además, bloquea el lanzamiento de un bucle de agente autónomo sin validación humana ni entorno aislado, por ejemplo con --dangerously-skip-permissions.

Con las cuatro palancas

Los dos ajustes no tratan de lo mismo. /goal, /loop, /schedule y los Stop hooks regulan el bucle: cuándo Claude continúa y cuándo se detiene. El modo de permisos regula las acciones: lo que Claude puede hacer en cada turno. /goal no cambia ese modo. Una regla deny bloquea antes incluso de consultar al clasificador, y una regla ask (por ejemplo sobre git push) fuerza una confirmación incluso en modo auto.

Qué sigue bajo control humano

El modo auto reduce las confirmaciones, pero no garantiza la seguridad: la documentación lo dice expresamente y aconseja reservarlo a las tareas cuya dirección general usted aprueba. Las cifras publicadas por Anthropic son francas: sobre 10 000 acciones reales, el 0,4 % de las acciones legítimas se bloquea por error, pero de 52 acciones realmente excesivas, el 17 % pasó, y el 5,7 % en intentos sintéticos de exfiltración de datos. El artículo concluye que el modo auto no sustituye una revisión humana atenta en una infraestructura crítica. Tras 3 bloqueos seguidos o 20 en total, se pone en pausa y vuelven las confirmaciones.

05Mantener el control

Delegar el bucle no significa soltar las riendas. La autonomía útil está acotada: una condición de parada demostrable, un límite de turnos o de tiempo, un alcance protegido y un punto donde una persona valida lo que compromete.

/goal no cambia su modo de permisos. El modo auto elimina las peticiones herramienta por herramienta, con controles de seguridad en segundo plano; desde finales de septiembre de 2026 (versión 2.1.283), es el modo de inicio de una sesión interactiva en el terminal o en VS Code si no hay ningún modo configurado, en todos los planes. En modo Manual, Claude sigue pidiendo su aprobación antes de las herramientas no autorizadas. Aumente la autonomía por etapas: en un proyecto sensible, lance un primer /goal en Manual (Mayús+Tab), vuelva al modo auto cuando haya comprobado el resultado y añada después un Stop hook con script.

Referencias al 5 de octubre de 2026: Claude Code 2.1.289, modelo por defecto Opus 5.5 desde la versión 2.1.280, /goal disponible desde la versión 2.1.139.