L’essentiel
- Le 14 août, le mode automatique devient le mode d’autorisation par défaut de Claude Code pour les offres Pro, Max et Team.
- Chaque appel d’outil passe par un classificateur distinct, qui a intercepté 89 % des actions problématiques lors des tests d’Anthropic.
- L’éditeur mesure 97 % d’acceptation sur les demandes de permission actuelles, et 9 fois plus de travail entre deux interruptions en mode auto.
- Le mode reste en opt-in sur Enterprise, l’API, Amazon Bedrock, Google Cloud et Microsoft Foundry, le temps que les administrateurs tranchent.
Le 14 août, Claude Code cessera de vous demander l’autorisation avant chaque commande shell si vous êtes abonné Pro, Max ou Team. À la place, un classificateur séparé du modèle examine chaque appel d’outil et bloque ce qu’il juge irréversible, destructeur ou dirigé hors de votre environnement. Le consentement quitte l’utilisateur pour rejoindre une machine qui évalue des probabilités.
Le filtre bloque 89 %, l’humain approuve 97 %
Les 89 % d’interception que revendique Anthropic ne sortent pas d’une simulation isolée. L’éditeur dit les avoir obtenus après plusieurs mois de mesures : du red-teaming interne (des attaques menées volontairement contre son propre système), du red-teaming confié à un tiers, des évaluations d’injection de prompt (ces instructions malveillantes glissées dans un contenu que l’agent lit), une étude contrôlée sur 1 053 testeurs rémunérés et l’analyse de sessions réelles de production. Sur toutes les mesures publiées, le mode automatique égale ou dépasse la revue manuelle.
Encore faut-il savoir ce que vaut cette revue manuelle : les utilisateurs approuvent 97 % des demandes de permission et n’en rejettent que 3 %. Quand Claude Code soumet un plan, en revanche, le taux de rejet grimpe à 39 %. Le même développeur lit donc un plan, mais survole une commande.
Les fichiers de configuration confirment ce relâchement. En juin 2026, 49,5 % des utilisateurs actifs du CLI (l’interface en ligne de commande) avaient créé à la main une règle d’autorisation Bash, et 5 % autorisaient purement et simplement n’importe quelle commande shell. La barrière du consentement commande par commande était déjà largement démontée par ceux qu’elle protégeait.
Ce qui passe le filtre tourne maintenant pendant des heures
Un taux de détection de 89 % laisse mécaniquement 11 % d’actions à risque qui franchissent le filtre. Sur une session de trois minutes, l’ordre de grandeur reste théorique. Sur les sessions longues que le mode automatique rend possibles, ce résidu change de nature : Anthropic mesure que Claude travaille neuf fois plus longtemps entre deux interruptions qu’avec l’ancien réglage, et présente le mode comme le complément d’Opus 5, capable de planifier et d’exécuter des tâches de plusieurs heures.
Multiplier par neuf la durée d’exposition en gardant 11 % d’actions non interceptées ne produit pas le même risque qu’avant, même si la comparaison avec l’humain reste flatteuse. Surtout, le classificateur note une action, pas une intention : il voit la commande qui arrive, pas la dérive de périmètre qui l’a produite trente appels plus tôt. C’est la limite structurelle d’un garde-fou placé au niveau de l’outil.
Aucun concurrent direct ne prend ce pari. Codex, chez OpenAI, enferme l’agent dans un sandbox (un périmètre d’exécution isolé) limité au dossier de travail et redemande la main dès qu’il faut en sortir ; Gemini CLI, chez Google, conserve l’approbation manuelle par défaut et réserve son mode « yolo » à une option de ligne de commande.
Trois blocages d’affilée, vingt sur la session
Anthropic a prévu le cas où son filtre s’emballe. Quand une action est bloquée, Claude cherche généralement une voie plus sûre par lui-même, ou vous demande directement le feu vert. Et s’il n’avance plus, au bout de trois blocages consécutifs ou de vingt sur l’ensemble de la session, Claude Code repasse en approbations manuelles.
Ce compteur est le mécanisme le plus intéressant du dispositif, et le plus ambigu. Un agent qui « trouve une voie plus sûre » après un refus, c’est aussi un agent qui contourne le garde-fou en restant sous le seuil de déclenchement. Le plafond de vingt blocages vous prévient donc quand la session a franchement mal tourné, pas quand elle commence à glisser.
Nuro empile les garde-fous au lieu de les remplacer
Les équipes déjà passées au mode automatique n’ont pas remplacé leurs protections par le classificateur, elles les ont empilées. Chez Nuro, l’entreprise de conduite autonome, l’ingénieur Kai Zhou avait bricolé son propre filtre avant l’arrivée du mode auto : un hook (un script déclenché automatiquement à chaque action) qui soumettait les commandes en attente à un petit modèle, approuvait les 90 % de routine et poussait le reste sur Slack pour validation humaine. Il l’a abandonné depuis, et emploie le mode automatique pour la totalité de son travail de programmation, avec trois ou quatre sessions en parallèle.
Deux détails comptent plus que ce témoignage. D’abord, les ingénieurs de Nuro refusent d’emblée les commandes les plus dangereuses, comme les suppressions récursives, dans leurs fichiers de réglages : le classificateur arbitre à l’intérieur de ces limites, il ne les fixe pas. Ensuite, Kai Zhou revient en mode interactif dès que le travail sort de son périmètre, par exemple quand Claude relit une pull request en son nom. Adobe, Gusto et Garner Health font tourner le mode auto par défaut en production, et chez les clients Team et Enterprise qui l’ont adopté, Anthropic mesure environ 25 % de pull requests livrées en plus.
Les administrateurs ont un mois, les développeurs une semaine
La bascule n’est pas uniforme. Le mode automatique reste désactivé par défaut sur Claude Enterprise, l’API, Amazon Bedrock, l’Agent Platform de Google Cloud et Microsoft Foundry : les administrateurs disposent d’un délai pour examiner le changement, avant une généralisation annoncée dans le mois qui vient. Les développeurs individuels, eux, basculent la semaine prochaine.
Reste le geste commercial, rarement anodin. Le classificateur consomme quelques tokens supplémentaires à chaque appel d’outil, et Anthropic a cessé de les facturer aux offres Pro, Max et Team. Le surcoût de la sécurité disparaît de votre note au moment précis où elle devient obligatoire. Si vous aviez déjà fixé un mode par défaut, une invite unique vous demandera si vous souhaitez basculer ; un défaut épinglé ne bouge pas, et Maj+Tab reste le raccourci pour passer d’un mode à l’autre en pleine session.
D’ici le 14 août, le seul arbitrage qui vous appartient encore tient dans vos fichiers de réglages : la liste des commandes que vous refusez de confier à une probabilité, quelle qu’elle soit. Elle s’applique avant le classificateur, et elle survit à ses 11 %.
Mon avis
Un classificateur qui rattrape 89 % des actions dangereuses fait mieux qu’un développeur qui clique « oui » 97 fois sur 100 : sur ce terrain, les données d’Anthropic sont difficiles à contester. Ce qui me dérange, c’est le transfert de responsabilité qui vient avec. Le jour où un agent supprimera une ressource de production dans les 11 % qui passent, l’éditeur pourra brandir un taux de détection publié et des mois de red-teaming, pendant que vous expliquerez à votre équipe pourquoi personne ne regardait. Gardez le mode auto, mais écrivez vos règles de refus avant le 14 août : c’est la dernière couche que le classificateur ne peut pas négocier à votre place.
