Le test qu'Anthropic a mené auprès de 1 053 développeurs réels

Kai Zhou, staff software engineer chez Nuro, a lancé un agent Claude Code à 22 heures et l'a laissé travailler. Quand il a vérifié à nouveau à 5 heures du matin, l'agent avait produit trois pull requests, et il n'avait eu à valider aucune demande de permission de toute la nuit pour les obtenir. "J'ai lancé un agent à 22 heures, il a tourné jusqu'à 5 heures du matin, et il m'a donné trois PR au réveil", a-t-il raconté. C'est exactement ce genre d'exécution sans supervision que le mode auto d'Anthropic a été conçu pour rendre ordinaire plutôt qu'exceptionnel, et à compter du 14 août 2026, il devient le comportement par défaut de tout compte Claude Code sur les offres Pro, Max et Team - non plus une option qu'une équipe doit chercher et activer elle-même.

Avant de prendre cette décision, Anthropic a mené un test contrôlé pour vérifier si supprimer la demande de permission est réellement plus sûr ou seulement plus rapide. L'entreprise a recruté 1 053 testeurs professionnels rémunérés et, en cours de session, a substitué à la demande de permission de chacun d'eux une commande véritablement dangereuse. Les testeurs qui s'appuyaient sur une revue manuelle l'ont détectée dans 13,6 % des cas - 143 sur 1 053. Le mode auto, observant les mêmes sessions, a bloqué 89 % de ces mêmes commandes substituées - 937 sur 1 053. Sur le même test exact, avec la même population exacte, le contrôle automatisé a intercepté l'action dangereuse environ 6,5 fois plus souvent que la revue humaine.

Ce qui change vraiment le 14 août

Le mode auto ne supprime pas entièrement les demandes de permission. Anthropic le décrit comme un système qui fait passer les appels d'outils par un classificateur qui continue de s'arrêter et de demander lorsqu'une action semble irréversible, destructrice ou dirigée hors de l'environnement - supprimer des données, publier en production, contacter un système que l'agent n'a aucune raison claire de toucher. Si le classificateur continue de bloquer, la session repasse en approbation manuelle après 3 blocages consécutifs ou 20 blocages sur une même session, de sorte qu'une longue exécution autonome comporte toujours un point de contrôle intégré au lieu d'aller jusqu'au bout sans supervision quoi qu'il arrive. Anthropic a également ajouté une couche dédiée de détection des injections d'instructions ainsi que des règles de refus strict configurables qu'un administrateur peut définir pour bloquer certaines actions, comme les chemins d'exfiltration de données, indépendamment de ce que décide le classificateur lui-même.

L'équipe qui le construit vit déjà ainsi. "L'équipe et moi utilisons le mode auto exclusivement, et ce depuis de nombreux mois. Je ne pourrais pas imaginer revenir aux demandes de permission", a déclaré Boris Cherny, qui dirige Claude Code chez Anthropic. Tomislav Reil, directeur de l'ingénierie chez Adobe, a décrit un schéma similaire dans son propre flux de travail : "Claude construit l'interface utilisateur, puis revient vérifier qu'elle correspond au design prévu, en corrigeant automatiquement les problèmes avant même que nous les voyions". Selon Anthropic, les équipes ayant adopté le mode auto livrent environ 25 % de pull requests en plus, et à partir du 14 août, elle cesse également de facturer aux comptes Pro, Max et Team le surcoût en tokens que le classificateur générait lui-même, le même changement de tarification étant prévu pour Enterprise, encore facultatif pour l'instant, sous environ un mois.

La base de référence n'a jamais été un examen attentif

La comparaison sur laquelle Anthropic veut attirer l'attention est le taux de détection de 89 % du mode auto contre 13,6 % pour la revue manuelle. Mais un chiffre distinct, communiqué avec l'annonce, explique mieux d'où vient cet écart : les utilisateurs de Claude Code approuvent déjà 97 % des demandes de permission qui leur sont présentées. C'est le point de départ honnête de cette décision, et ce n'est pas "un réviseur humain attentif contre un pilote automatique non éprouvé". C'est un réviseur qui approuvait déjà par habitude environ 19 demandes sur 20, remplacé par un système mesurablement meilleur pour détecter cette une sur 20 qui comptait vraiment. Les données de production d'Anthropic confirment cela au-delà du test en laboratoire : les sessions reposant sur une approbation manuelle ont enregistré des dommages non intentionnels de niveau de gravité 7 ou plus dans 6,3 % des cas, contre 2,4 % pour les sessions en mode auto effectuant le même type de travail.

Rien de tout cela ne fait de 89 % un chiffre définitif. Le propre test d'Anthropic laisse tout de même 11 % des commandes dangereuses substituées que le classificateur n'aurait pas bloquées, et la lecture honnête de l'étude est "nettement plus sûr que ce que faisaient réellement la plupart des équipes", pas "résolu". Anthropic rapporte également un taux de réussite de 0 % pour les attaques par injection d'instructions contre les modèles Claude en mode auto dans sa propre évaluation, et associe cette affirmation à la nouvelle couche de détection et aux règles de refus strict décrites plus haut.

Un commentaire indépendant publié la veille de l'annonce d'Anthropic, du développeur et chercheur en modèles de langage Simon Willison, a tracé une distinction plus nette qu'il convient de garder à l'esprit dans toute décision d'adoption : détecter un dommage accidentel et involontaire est un problème différent de détecter une instruction délibérément malveillante glissée dans le contexte d'un agent. Son exemple était un paquet tiers compromis dont les instructions ressemblent à une étape ordinaire de l'environnement - "exécuter la suite de tests" - mais qui déclenche en réalité une requête malveillante, exactement le genre d'action qu'un classificateur entraîné à signaler un travail "dirigé hors de l'environnement" pourrait laisser passer précisément parce qu'elle ne semble pas extérieure à première vue. Ce n'est pas un argument en faveur du maintien de la revue manuelle, qui a intercepté moins de tout dans le propre test d'Anthropic. C'est une raison de ne pas traiter le classificateur comme une réponse complète aux instructions injectées, seulement aux dommages accidentels et destructeurs.

Ce qu'il faut décider avant le 14 août, pas après

Auditez ce que le mode auto est autorisé à toucher, avant que le réglage par défaut ne change sous vous. Le classificateur d'Anthropic trace sa propre limite autour de "irréversible, destructeur ou dirigé hors de l'environnement" - dressez la liste des actions de votre pipeline spécifique que cette limite pourrait ne pas capter mais que vous jugeriez irréversibles : écritures dans la base de données de production, rotation des clés, commandes de déploiement, tout ce qui atteint un environnement client. Les nouvelles règles de refus strict d'Anthropic permettent à un administrateur de les bloquer explicitement ; configurez-les avant le 14 août, pas après qu'une session en ait déjà exécuté une.

Fixez votre propre seuil de repli, pas celui d'Anthropic par défaut. Le déclencheur de 3 blocages consécutifs ou 20 par session pour l'approbation manuelle est un réglage par défaut, pas une loi fixe, et un plafond non supervisé de 20 actions est une marge large pour une seule exécution nocturne comme celle de Kai Zhou. Abaissez-le pour tout pipeline touchant des identifiants, des données clients ou une infrastructure de production, et ne le laissez au défaut que là où une erreur est réellement réversible.

Réglez la question du journal d'audit avant qu'un régulateur ne la pose. Si votre organisation relève de NIS2 ou de DORA, confirmez - cette semaine, pas lors d'un futur audit - que les décisions de blocage et d'autorisation du mode auto sont journalisées avec le même niveau de détail probant que votre piste d'approbation humaine. L'annonce d'Anthropic n'aborde pas directement ce point ; c'est à l'équipe qui adopte l'outil, pas au fournisseur, de le vérifier avant que "nous avons supprimé les demandes de permission" ne devienne la réponse à une question sur la supervision des risques informatiques.

À lire ensuite: Un seul message a atteint les clés SSH  |  La première plateforme d'agents IA que la CISA impose de corriger