L’essentiel
- Anthropic ouvre les inference hooks en bêta pour Claude Enterprise : chaque prompt et chaque réponse d’outil peut être soumis à un serveur de conformité maison avant d’atteindre le modèle.
- Le verdict, autoriser ou refuser, transite par une connexion WebSocket signée et suspend la génération tant qu’il n’est pas rendu.
- Une seule configuration au niveau de l’organisation couvre le chat, Claude Code et Claude Cowork, outils branchés via MCP, skills et plugins compris.
- Le protocole est ouvert et se branche sur les serveurs Netskope, Palo Alto Networks, Proofpoint ou Zscaler déjà en place.
Anthropic vient d’installer un poste de contrôle devant son propre modèle. Les clients Claude Enterprise peuvent désormais forcer chaque prompt et chaque réponse d’outil à transiter par un serveur qu’ils hébergent, lequel rend un verdict avant que Claude ne commence à générer. L’annonce répond mot pour mot à ce que réclamaient les directions sécurité. Elle enclenche surtout une mécanique qui se rejoue à chaque tour d’outil, et dont le coût n’apparaîtra qu’à l’usage.
Un agent, onze verdicts
Faites le compte à partir de ce que décrit Anthropic. Une requête part : premier contrôle, avant génération. Claude appelle un outil : la réponse de cet outil est inspectée avant de revenir au modèle. Un agent qui enchaîne dix appels d’outils dans une même tâche déclenche donc onze décisions successives, chacune capable de tout arrêter. Et dix appels sur une revue de code ou une recherche documentaire n’ont rien d’extravagant.
C’est là que le dispositif change de nature. Un contrôle DLP classique (data loss prevention, la prévention des fuites de données) s’insère une fois, sur un envoi de fichier ou un message sortant. Ici, il s’insère dans une boucle. La charge du serveur d’inspection n’est plus proportionnelle au nombre de salariés équipés, elle l’est au nombre de tours d’outils que vos agents consomment. Rien n’oblige ces deux grandeurs à évoluer au même rythme, et c’est la seconde qui s’emballe quand les usages passent du chat à l’automatisation.
Passer ou bloquer quand le serveur ne répond plus
L’annonce ne donne aucun ordre de grandeur : ni délai ajouté par vérification, ni volume que le serveur doit encaisser. Elle renvoie le sujet côté client, sous forme de réglages, avec des timeouts configurables et un comportement de repli à définir, autrement dit ce que fait Claude quand votre serveur reste muet.
Ce paramètre vaut tous les chiffres du monde. Deux positions possibles, et il faut en choisir une. Ou la requête passe malgré l’absence de verdict, et le point d’inspection devient décoratif à la première saturation. Ou elle est refusée, et votre serveur de conformité devient un point de défaillance unique pour tous vos usages de Claude. Le choix se tranche donc sur des critères de disponibilité, et il engage l’exploitation autant que la sécurité.
La sécurité sort du modèle et passe sur le réseau
Jusqu’ici, le seul contrôle intégré en ligne tenait aux hooks côté client de Claude Code : un seul produit, un mécanisme qui s’exécute là où l’utilisateur a la main. Les inference hooks, ces points de contrôle posés dans le chemin d’inférence lui-même, s’activent une fois au niveau de l’organisation et s’appliquent à toutes les surfaces Claude Enterprise, sans agent à déployer produit par produit.
Ce déplacement dit quelque chose que le secteur formule rarement aussi clairement : on ne compte plus sur l’alignement du modèle pour empêcher une donnée sensible de sortir, on met un équipement réseau devant. La position est saine, elle est même la seule défendable devant un auditeur, mais elle a un prix. La politique de sécurité s’exécute désormais à un endroit où la moindre milliseconde est multipliée par le nombre de tours d’agent.
Netskope, Zscaler et les autres écrivent l’intégration
Le protocole est ouvert et son schéma est publié. Anthropic cite Netskope, Palo Alto Networks, Proofpoint et Zscaler : très exactement les serveurs vers lesquels vos autres outils remontent déjà. C’est le geste le plus stratégique de l’annonce.
Publier son schéma, c’est inviter les éditeurs de sécurité à écrire l’intégration à votre place, et transformer la conformité en argument commercial sans en porter le développement. Chez OpenAI, ChatGPT Enterprise s’adresse aux mêmes éditeurs, mais par une Compliance API qui exporte conversations et fichiers après coup, pour l’audit et la recherche de preuves : la lecture y est rétrospective, elle ne retient rien pendant la génération. Pour l’acheteur, la contrepartie est agréable : une configuration unique, aucun agent supplémentaire, un point de contrôle qu’il possède. Pour l’écosystème, cela installe un standard de fait sur l’inspection des appels d’outils, connecteurs MCP (Model Context Protocol, le standard qui branche des outils externes sur un modèle) inclus, sur un terrain où rien n’existait vraiment.
Mesurer en shadow mode avant de laisser bloquer
La bêta arrive avec de quoi instrumenter : un shadow mode, ou mode observation, qui laisse tout passer en journalisant les verdicts, des exclusions par rôle, un déploiement par pourcentage d’utilisateurs. C’est le meilleur instrument de mesure du lot, à condition de s’en servir comme d’un banc d’essai.
Trois relevés à faire avant d’activer le blocage : le nombre de vérifications par tâche d’agent, le temps de réponse de votre serveur au 95e percentile, et le taux de refus sur du trafic parfaitement légitime. Le premier dimensionne la facture, le deuxième dimensionne l’expérience utilisateur, le troisième dit si votre politique est applicable sans paralyser le travail. Sans ces relevés, le déploiement progressif par pourcentage ne sert qu’à étaler la panne sur plusieurs semaines.
La bêta redistribue enfin les responsabilités. Quand le verdict vient de votre serveur, la donnée qui fuit n’est plus un défaut du modèle : c’est une règle que vous n’aviez pas écrite. Anthropic vous donne la main, et le dossier qui va avec.
Mon avis
Les grandes gagnantes de cette ouverture sont les équipes sécurité qui bloquaient l’adoption de Claude faute de point d’inspection : elles viennent de perdre leur meilleur argument de refus, et elles vont devoir assumer une politique écrite noir sur blanc. J’attends surtout de voir combien d’organisations laisseront le réglage en mode permissif pendant des mois, avec un poste de contrôle qui rassure le comité de direction sans rien arrêter. Mon pronostic : l’inspection des réponses d’outils pèsera bien plus lourd que celle des prompts, parce que c’est là que circulent les données réelles, pas dans ce que tape un salarié dans une fenêtre de chat. Un serveur DLP qui n’a jamais lu une sortie de connecteur MCP va découvrir un trafic qu’il n’a pas été conçu pour comprendre.
