Anthropic mätte agentautonomi – och argumenterade mot godkännandekrav

Den 18 februari 2026 publicerade Anthropics Societal Impacts-team "Att mäta AI-agenters autonomi i praktiken", en analys av 998 481 verktygsanrop som gjorts via dess publika API och 500 000 interaktiva Claude Code-sessioner, och avslutade den med en rekommendation riktad till lagstiftare: tillsynsregler bör inte föreskriva särskilda interaktionsmönster, inklusive att kräva att en människa godkänner varje åtgärd en agent vidtar. Inlägget är en forskningsrapport, inte en inlaga, men det är loggat i incidentarkivet som en policyregistrering – allvarlighetsinformation, tillförlitlighet A, ingen registrerad skada, inte omtvistad – eftersom en modellleverantör använde sin egen förstaparts-telemetri för att hävda att en vanlig regulatorisk utformning "kommer att skapa friktion utan att nödvändigtvis ge säkerhetsvinster". Den fullständiga posten, med sin primärkälla och klassificering, finns i Orca AI Incident Archive, tillsammans med de andra styrningsposterna i serien.

Rapporten har tjugo namngivna bidragsgivare, bland dem Miles McCain, Thomas Millar, Saffron Huang, Alex Tamkin, Jack Clark och Deep Ganguli. Den bygger på Clio, Anthropics integritetsbevarande analysverktyg, som inlägget tillskriver att det låter företaget studera verklig kundtrafik utan att läsa de underliggande konversationerna. Den metoden är själva kärnan i artikeln: varje siffra nedan är en mätning av vad människor gjorde med agenter, inte av vad ett benchmark säger att agenter kan göra.

Vad Anthropic mätte, och hur

Anthropic definierar en agent som "ett AI-system utrustat med verktyg som gör det möjligt för det att vidta åtgärder" – köra kod, anropa externa API:er, skicka meddelanden till andra agenter. Definitionen fastställer analysenheten. I stället för att försöka rekonstruera varje kunds agentarkitektur, som företaget säger sig inte kunna se, räknade företaget enskilda verktygsanrop och kontexten runt dem.

De två datakällorna byter bredd mot djup. Den offentliga API-trafiken ger Anthropic insyn i tusentals kunder, men bara på nivån av isolerade verktygsanrop; företaget säger att det inte har "något tillförlitligt sätt att koppla samman oberoende förfrågningar till vårt API till 'sessioner' av agentisk aktivitet." Claude Code ger kompletta sessioner – vad som utlöste ett stopp, hur länge Claude arbetade, när en människa grep in – men det är en enda produkt som används i överväldigande grad för mjukvaruutveckling. Rön om autonomi kommer mest från Claude Code; risk- och domänrön kommer från API-urvalet.

Turvaraktighet, den tid som förflyter mellan att Claude börjar arbeta och slutar, är artikelns proxy för autonomi. Anthropic är tydliga med att proxyn är ofullkomlig: snabbare modeller och parallella subagenter förkortar turerna, mer ambitiösa uppgifter förlänger dem, och användarbasen fördubblades ungefär mellan januari och mitten av februari 2026, vilket ändrar vilka som ingår i urvalet.

Siffrorna som rapporten officiellt redovisar

Detta är de siffror som Anthropic publicerar, angivna så som rapporten anger dem.

• Den 99,9:e percentilen för en Claude Code-omgång nästan fördubblades, från under 25 minuter i slutet av september 2025 till över 45 minuter i början av januari 2026.

• Medianturen låg kvar nära 45 sekunder och varierade mellan 40 och 55 sekunder, och nästan varje percentil under den 99:e var stabil.

• Inom Anthropic fördubblades Claude Codes framgångsgrad på interna användares svåraste uppgifter mellan augusti och december 2025, samtidigt som det genomsnittliga antalet mänskliga ingripanden per session sjönk från 5,4 till 3,3.

• Nya användare med färre än 50 sessioner använde fullständigt automatiskt godkännande i ungefär 20 % av sessionerna; vid 750 sessioner hade det ökat till över 40 %.

• Avbrotten gick åt andra hållet: användare med omkring 10 sessioner avbröt Claude i 5 % av turerna, erfarna användare i omkring 9 %.

• Claude Code bad om förtydligande mer än dubbelt så ofta vid de mest komplexa uppgifterna som vid dem med minimal komplexitet, och vid dessa svåraste uppgifter stannade det upp för att fråga mer än dubbelt så ofta som människor avbröt det.

• I API-urvalet kom 80 % av verktygsanropen från agenter som tycktes ha minst en skyddsåtgärd, 73 % tycktes ha en människa i loopen och 0,8 % tycktes vara irreversibla, till exempel att skicka ett e-postmeddelande till en kund.

• Mjukvaruutveckling stod för nästan 50 % av API-verktygsanropen; ingen annan domän överskred några få procentenheter.

Fyndet som Anthropic kallar ett driftsättningsöverhäng

Ökningen i svansen är jämn över modellsläppen. "Om autonomi enbart vore en funktion av modellkapacitet skulle vi förvänta oss kraftiga hopp vid varje ny lansering", hävdar inlägget, så jämnheten tyder på att förtroende byggs upp med erfarenhet, att svårare uppgifter försöks och att produkten förbättras. Dess slutsats är att befintliga modeller "kan mer autonomi än de utövar i praktiken" — gapet som rapporten kallar deployment overhang.

Anthropic ställer det mot extern kapacitetstestning och hänvisar till METR:s uppskattning att Claude Opus 4.5 med 50 % framgångsgrad kan slutföra uppgifter som skulle ta en människa nästan fem timmar, medan dess egen 99,9:e percentil för en Claude Code-omgång är cirka 42 minuter. Sedan drar man tillbaka jämförelsen: METR mäter uppgiftens svårighetsgrad i en idealiserad miljö utan människa i loopen, medan omgångens varaktighet mäter förfluten tid i en driftsättning där Claude pausar och användare avbryter. En fotnot är rakt på sak – "vi försöker inte resonera över dessa mätvärden." Kontrasteringen är illustrativ, inte en uppmätt multiplikator, och bör inte citeras som en sådan.

Tillsynsparadoxen i centrum av argumentet

Erfarna användare godkänner mindre och avbryter mer. Anthropic tolkar den kombinationen som en förändring i övervakningsstrategi snarare än ett avstående från den: nybörjare godkänner varje steg och behöver därför sällan stoppa Claude mitt i en körning, medan erfarna användare låter Claude arbeta och ingriper när något går fel. API-datan pekar i samma riktning – 87 % av verktygsanropen i uppgifter med minimal komplexitet hade någon form av mänsklig inblandning, jämfört med 67 % i uppgifter med hög komplexitet.

Rapporten är uppriktig om att andra förklaringar kvarstår. I dess egen fotnot påpekas att erfarna användare helt enkelt kan försöka sig på svårare uppgifter, att Claude Codes standardinställningar driver nya användare mot godkännandebaserad tillsyn, och att mjukvara är ovanligt mottaglig för övervakning eftersom resultatet kan testas och granskas; inom områden där kontrollen av en agents arbete kräver samma expertis som att producera det, "kan förskjutningen gå långsammare eller anta en annan form."

Policyargumentet och vad det efterfrågar

Anthropics rekommendationer faller i tre grupper. Modell- och produktutvecklare bör investera i övervakning efter driftsättning, eftersom utvärderingar före driftsättning inte kan se hur människor faktiskt interagerar med agenter. Modellutvecklare bör träna modeller att känna igen sin egen osäkerhet och synliggöra den, en egenskap som rapporten säger "kompletterar externa skyddsåtgärder som mänskliga godkännandeflöden och åtkomstbegränsningar." Produktutvecklare bör utforma för tillsyn – insyn i vad agenten gör plus enkla sätt att styra om den.

Avsnittet som riktar sig till beslutsfattare är det som gör detta till ett styrningsdokument. Under rubriken "Det är för tidigt att föreskriva specifika interaktionsmönster" skriver Anthropic att "tillsynskrav som föreskriver specifika interaktionsmönster, såsom att kräva att människor godkänner varje åtgärd, kommer att skapa friktion utan att nödvändigtvis ge säkerhetsvinster", och att fokus bör ligga "på huruvida människor har möjlighet att effektivt övervaka och ingripa, snarare än på att kräva särskilda former av medverkan."

Branschpressen plockade upp exakt den inramningen. Inside AI Policys reportage den 20 februari 2026 hade rubriken att Anthropic uppmanade till försiktighet kring tillsynsmandat; Inside Cybersecurity följde efter den 24 februari med samma vinkel. Ingen av dem kunde läsas i sin helhet utan prenumeration, och ingen av dem granskade den underliggande datan.

Vad som är bekräftat, och vad som inte är det

Publikationen och dess huvudsiffror bekräftas. GIGAZINE rapporterade om studien den 19 februari 2026, dagen efter publiceringen, och upprepade svansen på 25–45 minuter, förskjutningen på 20–40 % mot automatiska godkännanden, minskningen av ingripanden från 5,4 till 3,3 och andelen oåterkalleliga på 0,8 %. Digital Watch Observatory sammanfattade den den 20 februari 2026, liksom Inside AI Policy. Bekräftelsen gäller vad Anthropic har sagt, inte huruvida det är sant: ingen utomstående part har granskat de 998 481 klassificerade verktygsanropen, och Anthropic släpper inte datasetet.

Den asymmetrin är värd att benämna utan att överdriva den. En leverantör som mäter sin egen produkt och drar slutsatsen att efterlevnadsbördan bör ligga på övervakning i stället för på godkännande per åtgärd har nått en slutsats som passar den produkt den säljer. Anthropic anger självt de flesta strukturella begränsningarna, i ett avsnitt om begränsningar som är ovanligt direkt. Men reproducerbarhet hör inte till det som företaget kan åtgärda så länge rådata förblir privat, och inget oberoende organ har granskat klassificeringarna.

De gränser som Anthropic själva anger

• Analysen omfattar en modellleverantör. Agenter som bygger på andra modeller kan uppvisa andra adoptionsmönster och riskprofiler.

• Klassificeringarna av risk, autonomi och mänsklig inblandning genererades av Claude. Anthropic säger att integritetsrestriktioner hindrade manuell granskning av underliggande data, och att dess uppskattning av mänsklig inblandning bör läsas som en övre gräns.

• Sampling på nivån för enskilda verktygsanrop överrepresenterar driftsättningar med många sekventiella anrop, såsom arbetsflöden inom mjukvaruutveckling med upprepade filredigeringar.

• Klassificeringarna kan inte skilja produktionsåtgärder från utvärderingar eller red-teaming. Flera av klustren med högst risk "förefaller vara säkerhetsutvärderingar", enligt rapporten, och den anser att många av de skenbara dataexfiltreringarna är tester.

• Mänsklig granskning nedströms API:et är osynlig, så en agent som ser autonom ut på verktygsanropsnivå kan ha en person som kontrollerar dess utdata.

• Tidsfönstret är sent 2025 till tidigt 2026, och de starkaste resultaten kommer från Claude Code, som till överväldigande del är en programvaruutvecklingsprodukt.

Vad förändrades efteråt

Arkivet registrerar ingen skada, ingen rättelse och ingen tvist, och det är den korrekta beskrivningen: detta är en mätning och ett argument, inte en incident med en avhjälpande åtgärd. Anthropic säger att man kommer att utöka analysen över tid och efterlyser branschöverskridande arbete med att koppla API-förfrågningar till sessioner på ett integritetsskyddande sätt. Inlägget noterar också att produkter som Cowork gör agenter mer tillgängliga, vilket man förväntar sig ska flytta fram gränsen för risk och autonomi. I det material som granskats för den här artikeln hade ingen tillsynsmyndighet antagit, avvisat eller formellt svarat på rekommendationen mot godkännande för varje enskild åtgärd.

Den hållbara poängen är snävare än rubriksiffrorna. Anthropics argument mot att kräva stegvis godkännande vilar på en mätning som, enligt deras eget medgivande, för närvarande bara en modellleverantör med förstapartsdata om sessioner kan göra – och till och med Anthropic säger att de inte kan koppla tredjeparts-API-trafik till sessioner. Tills den infrastrukturen finns vilar policyrådet på ett företags instrument, tillämpat på ett företags kunder, under en vinter. Det gör inte fyndet felaktigt. Det gör det till en leverantörs mätning, och det bör citeras som en sådan.