Anthropic vient de décider que les développeurs n’auraient plus à cliquer frénétiquement sur « Approuver » toutes les trois secondes, et cette décision repose sur un constat accablant pour l’ego humain. À compter du 14 août, le mode auto de Claude Code deviendra le réglage par défaut sur l’ensemble des abonnements Pro, Max et Team, transformant l’agent de codage en un opérateur quasi autonome qui avance, exécute, enchaîne les appels d’outils sans solliciter de feu vert à chaque micro-étape.
Le développeur reste aux commandes, mais le volant tourne désormais tout seul sur l’autoroute. Le mode auto, dévoilé en mars sous forme expérimentale puis ouvert à tous le 10 juillet, soumet chaque appel d’outil à un classificateur de sécurité entraîné pour repérer les actions irréversibles, destructrices ou ciblant des ressources extérieures à l’environnement de l’utilisateur. Quand le classificateur flaire un danger, Claude Code tente spontanément de trouver un chemin alternatif plus sûr. Et si trois blocages consécutifs surviennent (ou vingt au total dans une même session), l’agent retombe sur le bon vieux système de validation manuelle, comme un parachute de secours qu’on espère ne jamais ouvrir.
Boris Cherny, responsable de Claude Code, a affirmé sur X que son équipe travaille exclusivement en mode auto « depuis plusieurs mois », ce qui en dit long sur la confiance qu’Anthropic accorde à son propre classificateur. Mais la vraie bombe, c’est l’étude contrôlée menée auprès de 1 053 testeurs rémunérés. Le mode auto y a bloqué 89 % des commandes dangereuses délibérément injectées dans le flux de travail.
Et la revue humaine dans tout ça ? 13,6 %. Seulement treize virgule six pour cent. Et les développeurs, dans leur routine quotidienne, approuvent déjà 97 % des demandes de permission sans même les lire, transformant chaque popup de validation en un réflexe pavlovien dénué de toute vigilance réelle. La résistance aux attaques par injection de prompt ajoute une couche de vernis supplémentaire à l’argumentaire d’Anthropic.
Les tests conduits par Trajectory Labs ont soumis le mode auto à 720 tentatives d’attaque… et aucune n’a réussi à percer. Zéro sur 720. En comparaison, GPT-5.6 Sol avec le mode Auto-review de Codex a laissé passer 5,83 % des attaques, tandis que le mode full-access de Codex affichait un taux de réussite de 19,03 % pour les assaillants. Ces chiffres placent le classificateur d’Anthropic dans une catégorie à part, du moins sur ce benchmark précis. Anthropic a par ailleurs cessé de facturer aux utilisateurs Pro, Max et Team le calcul supplémentaire engendré par le classificateur de sécurité, supprimant ainsi la friction économique qui aurait pu décourager l’adoption.
De nouvelles fonctionnalités de sécurité accompagnent le basculement, notamment des refus durs personnalisables (pour empêcher toute exfiltration de données), des vérifications de l’état Git avant les opérations destructrices et un filtrage renforcé des prompt injections. Trois scénarios potentiellement catastrophiques ont été bloqués en interne durant la phase de test, dont une fuite de données hors réseau, une opération de masse destructrice et une escalade de privilèges trop large. Le déploiement reste pour l’instant optionnel sur Claude Enterprise, l’API Claude, Amazon Bedrock, la plateforme d’agents de Google Cloud et Microsoft Foundry, mais Anthropic prévoit d’y activer le mode auto par défaut dans le mois qui suit.
Les utilisateurs ayant déjà configuré un autre réglage par défaut recevront une invite ponctuelle leur proposant de basculer, sans y être contraints. Anthropic recommande néanmoins de relire les actions de l’agent avant toute modification de systèmes de production, rappelant que le mode auto réduit fortement le risque sans pour autant l’éliminer, puisqu’il confie à une IA le soin de juger de la sécurité d’autres actions d’IA.
Qui supervise le superviseur ? La question, vieille comme l’informatique, prend ici une tournure vertigineuse. En rendant le mode auto par défaut, Anthropic fait le pari que la fatigue attentionnelle des développeurs constitue un risque de sécurité bien plus grand qu’un classificateur imparfait, et les données semblent lui donner raison avec une brutalité statistique difficile à contester.
Les équipes de développement vont gagner en fluidité, en vitesse d’exécution, en confort cognitif, mais elles devront aussi accepter qu’un filet de sécurité algorithmique veille désormais là où leur propre attention avait, depuis longtemps, déjà capitulé.
