Se non sbaglio l'autorun da chiavette (e in generale da supporti differenti da unità ottiche) è stato disabilitato su XP da un certo service pack in poi, e credo che sia sempre stato disabilitato di default su Vista e 7.
Dato però che alcune periferiche USB si possono fingere lettori CD (pratica detestabile usata moltissimo sulle internet key -> Totti se mi senti dì a quelli di Vodafone che li odio per questo), per andare sul sicuro e difendersi - oltre che dai virus - dai setup rompiballe dei produttori di hardware, più o meno da sempre ho l'autorun disattivato. Il mio PC deve fare quello che dico io, non quello che dice chi ha prodotto un CD o una internet key.