Anthropic en a fini avec les demandes répétées demandant aux utilisateurs de Claude Code de cliquer sur « approuver » toutes les quelques minutes. À partir du 14 août 2026, le mode automatique de Claude Code devient le paramètre par défaut pour les nouvelles sessions sur les offres Pro, Max et Team, remplaçant le flux constant de demandes d’autorisation qui a longtemps défini la manière dont les développeurs interagissent avec les agents de codage IA. L’entreprise affirme disposer des données pour justifier ce changement, mais des commentaires indépendants — notamment de la part du développeur et chercheur Simon Willison — suggèrent que l’histoire est plus nuancée qu’un simple gain en matière de sécurité.
Summary
Points clés à retenir
- Anthropic fait du mode automatique le paramètre par défaut pour les offres Claude Code Pro, Max et Team à partir du 14 août 2026.
- Dans un test portant sur 1 053 utilisateurs payants, le mode automatique a bloqué 89 % des commandes dangereuses, tandis que les testeurs humains n’ont refusé que 13,6 % du temps.
- L’évaluateur indépendant Trajectory Labs a mené 720 attaques d’injection de requêtes indirectes contre Claude Fable 5, Opus 5 et Sonnet 5 en mode automatique — aucune n’a réussi.
- Anthropic cessera de facturer les jetons supplémentaires utilisés par le classificateur du mode automatique à chaque appel d’outil.
- Les analystes signalent toujours des risques non résolus, notamment des paquets tiers malveillants susceptibles d’exfiltrer des données sans être détectés.
Anthropic fait du mode automatique de Claude Code le paramètre par défaut
Ce changement répond à un problème dont les ingénieurs d’Anthropic parlent ouvertement : la fatigue de confirmation. Demander à un humain d’approuver chaque étape du flux de travail d’un agent IA semble prudent, mais en pratique cela entraîne les gens à cliquer sur les fenêtres de confirmation sans vraiment les lire. Selon Anthropic, le mode automatique remplace cette boucle d’approbation répétitive par un classificateur qui inspecte chaque appel d’outil pour détecter les actions irréversibles, destructrices ou clairement hors limites. Si le classificateur signale quelque chose, Claude cherche soit une voie plus sûre, soit revient à une demande d’autorisation — et si les blocages continuent de s’accumuler, toute la session repasse en approbation manuelle.
Le déploiement concerne les offres Pro, Max et Team, sauf si un utilisateur ou un administrateur a épinglé manuellement un autre paramètre d’autorisation. Anthropic supprime également un petit point de friction financier : l’entreprise ne facturera plus les jetons supplémentaires que le classificateur consomme à chaque appel d’outil, selon le billet de blog de l’entreprise consacré à ce changement.
Pourquoi cela importe-t-il au-delà de la commodité ? Anthropic affirme que le mode automatique change déjà la façon dont les équipes travaillent — les clients Team et Enterprise qui l’utilisent livreraient environ 25 % de demandes de tirage (pull requests) en plus que ceux qui s’appuient sur l’approbation manuelle. C’est un signal de productivité significatif, mais cela augmente aussi les enjeux : plus d’activité de codage autonome signifie plus d’occasions que quelque chose se passe mal si la couche de sécurité sous-jacente n’est pas solide.
Le mode automatique bloque-t-il réellement plus de commandes dangereuses que les humains ?
Oui, selon les propres tests d’Anthropic — et de loin. L’entreprise a mené une étude auprès de 1 053 testeurs payants au cours de laquelle, en plein milieu d’une session normale, une demande d’autorisation de routine a été discrètement remplacée par une commande clairement dangereuse. Chaque testeur a vu le même scénario. Résultat : seuls 13,6 % des humains ont refusé l’action nuisible. Le mode automatique, testé sur la même commande, l’a bloquée dans 89 % des cas.
L’écart se creuse plus la session se prolonge. Anthropic a indiqué que la vigilance humaine tombait à environ 5 % après 50 demandes — un chiffre qui illustre précisément pourquoi l’entreprise présente la fatigue de confirmation comme un véritable risque de sécurité plutôt qu’une préoccupation abstraite. Les gens se fatiguent, se distraient ou deviennent complaisants. Un classificateur, du moins en théorie, non.
Cependant, les chiffres ont deux faces. Ce taux de blocage de 89 % laisse 11 % des commandes dangereuses passer à travers les mailles du mode automatique — un écart qu’Anthropic reconnaît lui-même. L’entreprise continue de recommander une revue humaine pour les modifications touchant les systèmes de production, ce qui suggère que même Anthropic n’est pas prêt à présenter le mode automatique comme un substitut complet au jugement humain.
Injection de requêtes : le test majeur pour la sécurité des agents de codage IA
Bloquer une commande manifestement dangereuse est une chose. Arrêter une attaque dissimulée dans un contenu que l’agent lit ailleurs est un tout autre problème, et c’est celui qui inquiète le plus les chercheurs en sécurité. L’injection de requêtes — le fait de glisser des instructions malveillantes dans du texte, du code ou des fichiers qu’un agent IA consommera plus tard — a été signalée à plusieurs reprises comme une faiblesse centrale de la sécurité des agents de codage IA, et Simon Willison a déjà prédit que 2026 pourrait voir un incident de sécurité sérieux lié précisément à ce type de vulnérabilité.
La réponse d’Anthropic a été de mandater un contrôle externe. L’entreprise a engagé Trajectory Labs pour évaluer de manière indépendante les dernières versions publiquement disponibles de Claude Code et Codex au 17 juillet 2026. Trajectory Labs a conçu 72 scénarios d’injection de requêtes indirectes qui avaient été exclus de l’entraînement et des tests internes d’Anthropic, puis a exécuté chaque scénario dix fois — soit 720 tentatives d’attaque au total. Selon les résultats publiés par Anthropic, aucune des 720 tentatives n’a réussi contre Claude Fable 5, Opus 5 ou Sonnet 5 en mode automatique.
C’est un résultat frappant, et c’est le message principal qu’Anthropic souhaite faire passer. Thariq Shihipar, l’un des représentants d’Anthropic qui ont présenté ces travaux lors d’un récent Fireside Chat, a plaisanté sur les réseaux sociaux en disant que le rapport aurait pu s’intituler « vaincre la triple menace mortelle » — une référence à la combinaison d’entrées non fiables, de données sensibles et d’autonomie de l’agent que les chercheurs en sécurité considèrent comme la configuration la plus dangereuse pour les systèmes d’IA. Cat Wu, une autre représentante d’Anthropic présente lors de cette discussion, a déclaré que l’entreprise avait « pratiquement atténué chaque attaque » testée.
Willison, pour sa part, reste prudemment sceptique plutôt que convaincu. Il note qu’un taux de réussite nul face à 720 tentatives d’attaque soigneusement sélectionnées est encourageant, mais que ce n’est pas la même chose qu’une preuve contre tous les vecteurs d’attaque qu’un adversaire réel pourrait tenter. Un scénario qu’il évoque spécifiquement : un paquet logiciel tiers malveillant qui ordonne à un agent de codage de récupérer et d’exécuter des fichiers supplémentaires avant d’exécuter les commandes légitimes — des fichiers qui pourraient discrètement exfiltrer des données au passage. On ne sait pas si une quelconque version du mode automatique de Claude Code détecterait ce type d’attaque indirecte de type chaîne d’approvisionnement, puisque l’instruction malveillante ne ressemblerait pas nécessairement à une commande dangereuse telle que le classificateur est conçu pour les repérer.
Ce qui reste non résolu
Deux problèmes de sécurité distincts sous-tendent toute cette discussion, et le mode automatique ne les résout pas forcément tous les deux avec la même efficacité. Le premier est le dommage accidentel — un agent qui supprime les mauvais fichiers ou efface une base de données de production simplement parce qu’il a mal compris une instruction. Le second, et celui qui préoccupe le plus les chercheurs en sécurité, est l’injection de requêtes délibérée, où un attaquant arme un contenu auquel l’agent fait confiance.
La conclusion de Willison penche toutefois vers une solution plus structurelle que la confiance dans une seule couche de sécurité, aussi performante soit-elle en test. Plutôt que de s’appuyer entièrement sur les mécanismes de sécurité IA d’Anthropic intégrés au modèle ou au classificateur, il affirme être désormais davantage motivé à concevoir des flux de travail d’agents qui ne donnent tout simplement pas aux systèmes d’IA accès à des données ou à des outils capables de causer des dommages s’ils sont déclenchés de manière incorrecte. C’est une posture sensiblement différente de « faire confiance au classificateur » — elle traite le mode automatique comme une couche de défense parmi d’autres, et non comme une solution aboutie.
Il convient également de noter qu’Anthropic n’est pas le seul grand laboratoire d’IA à se débattre avec ce compromis. OpenAI aurait choisi de ne pas activer par défaut un mode automatique équivalent pour son modèle le plus performant, GPT-5.6, préférant une approche plus prudente basée sur l’approbation — un signe que, même au sein du secteur, il n’existe pas encore de consensus sur le niveau d’autonomie qu’il est sûr de confier par défaut à un agent de codage IA.
FAQ
Qu’est-ce que le mode automatique d’Anthropic dans Claude Code ?
Le mode automatique est un paramètre qui remplace les demandes répétées d’approbation humaine par un classificateur conçu pour bloquer automatiquement les appels d’outils irréversibles ou dangereux, ne revenant à l’approbation manuelle que lorsque les blocages se répètent ou qu’une action vraiment ambiguë se présente.
Quelle est l’efficacité du mode automatique pour bloquer les commandes dangereuses par rapport aux humains ?
Dans des tests menés auprès de 1 053 utilisateurs payants, le mode automatique a bloqué 89 % des commandes dangereuses, tandis que seulement 13,6 % des testeurs humains ont refusé la même action nuisible — et la vigilance humaine aurait encore chuté, à environ 5 %, après 50 demandes au cours d’une session.
Le mode automatique empêche-t-il complètement les attaques par injection de requêtes ?
Des tests indépendants menés par Trajectory Labs n’ont relevé aucune attaque par injection de requêtes réussie parmi 720 tentatives contre Claude Fable 5, Opus 5 et Sonnet 5 en mode automatique. Cela dit, des risques comme les paquets tiers malveillants qui exfiltrent des données peuvent ne pas être entièrement pris en charge par le système actuel.
Quels risques de sécurité subsistent avec les agents de codage IA malgré le mode automatique ?
Les agents peuvent toujours effectuer des actions dommageables par accident, et des attaques sophistiquées — en particulier celles qui transitent par des paquets de code tiers malveillants — peuvent ne pas être détectées de manière fiable par le classificateur du mode automatique, selon l’analyse des résultats publiés par Anthropic.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Qu’est-ce que le mode automatique d’Anthropic dans Claude Code ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le mode automatique est un paramètre qui remplace les demandes répétées d’approbation humaine par un classificateur conçu pour bloquer automatiquement les appels d’outils irréversibles ou dangereux, ne revenant à l’approbation manuelle que lorsque les blocages se répètent ou qu’une action vraiment ambiguë se présente. »}},{« @type »: »Question », »name »: »Quelle est l’efficacité du mode automatique pour bloquer les commandes dangereuses par rapport aux humains ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Dans des tests menés auprès de 1 053 utilisateurs payants, le mode automatique a bloqué 89 % des commandes dangereuses, tandis que seulement 13,6 % des testeurs humains ont refusé la même action nuisible — et la vigilance humaine aurait encore chuté, à environ 5 %, après 50 demandes au cours d’une session. »}},{« @type »: »Question », »name »: »Le mode automatique empêche-t-il complètement les attaques par injection de requêtes ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Des tests indépendants menés par Trajectory Labs n’ont relevé aucune attaque par injection de requêtes réussie parmi 720 tentatives contre Claude Fable 5, Opus 5 et Sonnet 5 en mode automatique. Cela dit, des risques comme les paquets tiers malveillants qui exfiltrent des données peuvent ne pas être entièrement pris en charge par le système actuel. »}},{« @type »: »Question », »name »: »Quels risques de sécurité subsistent avec les agents de codage IA malgré le mode automatique ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les agents peuvent toujours effectuer des actions dommageables par accident, et des attaques sophistiquées — en particulier celles qui transitent par des paquets de code tiers malveillants — peuvent ne pas être détectées de manière fiable par le classificateur du mode automatique, selon l’analyse des résultats publiés par Anthropic. »}}]}
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.
