Claude Code : le mode automatique devient le réglage par défaut

Un nouveau réglage par défaut à partir du 14 août

Anthropic a annoncé le 7 août 2026 que les nouvelles sessions de Claude Code démarreront en mode automatique à partir du 14 août pour les abonnés Pro, Max et Team. TechCrunch a confirmé ce changement le 9 août. Les utilisateurs qui ont déjà choisi un autre mode pourront voir une invitation unique à sélectionner leur réglage, tandis qu’un choix explicitement verrouillé doit être conservé. Le mode reste désactivable à tout moment depuis le sélecteur de permissions ou avec le raccourci Majuscule + Tab.

Le calendrier n’est pas identique pour tous les accès. Les comptes Enterprise ainsi que les usages via l’API, Amazon Bedrock, Google Cloud et Microsoft Foundry restent en activation volontaire dans un premier temps. Anthropic prévoit d’en faire aussi le réglage par défaut dans le mois suivant, mais les administrateurs pourront le désactiver ou imposer un autre mode. Il faut donc distinguer l’arrivée de la fonction, déjà disponible, de son activation automatique selon le forfait et la politique de l’organisation.

Un classificateur examine chaque action avant son exécution

En mode manuel, Claude Code demande une autorisation pour les opérations qui sortent de son périmètre initial. En mode automatique, un modèle distinct évalue chaque appel d’outil et recherche trois catégories de danger : une action irréversible, un effet destructeur ou une modification située en dehors de l’environnement de travail attendu. S’il détecte un risque, l’action est bloquée et l’utilisateur récupère la décision. Après trois blocages consécutifs, ou vingt blocages au cours d’une même session, Claude Code revient au fonctionnement manuel.

Anthropic justifie ce choix par l’usage réel de son terminal. Selon ses données, 97 % des demandes de permission sont approuvées. Près de la moitié des utilisateurs actifs de l’interface en ligne de commande avaient par ailleurs ajouté au moins une règle Bash très large, et 62 % avaient utilisé un mode sans demande de confirmation. Autrement dit, une boîte de dialogue fréquente peut devenir un geste réflexe au lieu d’un contrôle attentif. Le nouveau système cherche à concentrer l’attention humaine sur les opérations que le classificateur juge réellement sensibles.

Le test interne portait sur 1 053 développeurs payants. Anthropic a remplacé une commande légitime par une commande dangereuse dans un environnement contrôlé : 143 participants l’ont refusée, alors que le mode automatique en a bloqué 937. L’écart est important, mais le protocole mesure une situation construite et non un taux global d’incidents. Depuis l’annonce, le calcul du classificateur n’est pas facturé aux abonnés Pro, Max et Team ; la consommation normale de Claude Code continue, elle, de dépendre du forfait.

Des garde-fous plus lisibles, mais pas une garantie de sûreté

Le mode automatique s’ajoute aux protections déjà appliquées par Claude Code. Anthropic cite notamment des refus systématiques pour certaines opérations, le contrôle du partage de données, la protection de l’état Git et la détection d’instructions cachées susceptibles de détourner l’agent. L’entreprise décrit aussi trois incidents internes que le classificateur aurait interrompus : la tentative de publier du code sur un service public, l’arrêt massif de processus dans une infrastructure de calcul et une élévation de privilèges à partir d’un environnement présenté comme non modifiable.

Pour un développeur, le bénéfice attendu est surtout pratique : les commandes usuelles peuvent s’enchaîner avec moins d’interruptions, tout en conservant un point d’arrêt pour une suppression, une action système ou une sortie du dossier autorisé. Une équipe peut définir le réglage par défaut avec la politique d’administration et interdire le mode automatique si son niveau de conformité l’exige. Ces contrôles sont particulièrement importants sur une branche de production, une base de données réelle ou un poste disposant de secrets de déploiement.

Anthropic indique explicitement que la classification ne supprime pas le risque. Un modèle peut mal comprendre l’intention, manquer une conséquence indirecte ou autoriser une suite d’actions dont le danger n’apparaît qu’après plusieurs étapes. Les changements à fort impact doivent donc encore être relus, testés et bornés par les permissions du système. Le mode automatique réduit le coût des confirmations ; il ne remplace ni l’isolation de l’environnement, ni une stratégie de sauvegarde, ni la revue humaine avant une opération irréversible.

Les tests d’injection de prompt demandent une lecture prudente

Anthropic publie également des essais commandés à Trajectory Labs sur 72 scénarios d’injection indirecte, répétés dix fois. Le principe consiste à placer une instruction malveillante dans une page ou un outil consulté par l’agent, afin de vérifier s’il l’exécute malgré la demande initiale. Dans la configuration retenue, l’entreprise rapporte zéro réussite contre les modèles Claude les plus récents en mode automatique. Les résultats attribués à d’autres agents sont moins favorables, mais cette comparaison ne doit pas être lue comme un classement général de sécurité.

Le document précise plusieurs limites : les essais dataient du 17 juillet, utilisaient une enveloppe de navigation commune et n’évaluaient pas toutes les intégrations natives. Une version plus récente du système Auto-review d’OpenAI avait en outre été publiée avant l’annonce d’Anthropic et pouvait modifier la comparaison. Le taux synthétique de 7 % d’actions dangereuses manquées dans un autre test Apollo ne représente pas davantage un taux d’échec en production. Pour les utilisateurs de Claude Code, la conclusion utile reste donc mesurée : ce réglage apporte une couche de filtrage supplémentaire et mieux ciblée que l’approbation systématique, mais son efficacité dépendra des projets, des outils connectés et des politiques de permissions réellement appliquées.