Claude Code passe en mode auto par défaut le 14 août

À partir du 14 août, le mode auto de Claude Code valide lui-même la quasi-totalité des actions de l’agent sur les formules Pro, Max et Team. Anthropic justifie la bascule par une étude interne où ce mode auto a bloqué près de 90 % des commandes dangereuses, contre 13,6 % pour la relecture humaine. Les clients Enterprise et API gardent l’ancien réglage encore quelques semaines.

Pour résumer

• Le mode auto devient le réglage par défaut des nouvelles sessions Pro, Max et Team le 14 août.
• Chaque appel d’outil passe par un classifieur qui bloque l’irréversible, le destructeur et tout ce qui sort de l’environnement de travail.
• Les tokens consommés par ce classifieur ne sont plus facturés sur ces trois formules.

L’autorisation disparaît des sessions Pro, Max et Team

Le principe du mode auto tient en une inversion. Jusqu’ici, l’agent s’arrêtait avant chaque action sensible et attendait un clic. À partir du 14 août, il continue, et c’est un classifieur qui décide en amont si l’appel d’outil mérite d’être interrompu.

Le filtre vise trois familles d’actions : celles qui sont irréversibles, celles qui sont destructrices, et celles qui pointent hors de l’environnement du développeur. Cette dernière catégorie a pris du poids depuis que Claude Code embarque son propre navigateur pour agir directement sur le web, un périmètre où une commande mal cadrée ne reste plus confinée à un dépôt local.

La bascule ne touche que les nouvelles sessions et seulement trois formules. Un utilisateur qui a déjà choisi un autre réglage par défaut recevra une invite unique lui proposant de changer. Un réglage épinglé, lui, ne bouge pas.

Restent en dehors pour l’instant : Claude Enterprise, l’API, Claude Platform sur AWS, Amazon Bedrock, la plateforme d’agents de Google Cloud et Microsoft Foundry. Anthropic a annoncé la même bascule sur ces environnements dans le mois qui vient, le temps que les administrateurs examinent le changement, et détaille l’ensemble du dispositif dans son billet officiel consacré au passage du mode auto en réglage par défaut.

Deux garde-fous arrivent avec la bascule. Un filtrage des injections de prompt, d’abord, ce type d’attaque où un contenu piégé lu par l’agent lui fait exécuter des instructions qui ne viennent pas de vous. Des règles de refus strictes personnalisables, ensuite, que les équipes peuvent figer pour verrouiller certaines opérations quoi qu’il arrive.

Le geste commercial compte autant que le geste technique. Les tokens consommés par le classifieur ne sont plus facturés aux utilisateurs Pro, Max et Team, alors que la facture des agents de code a déjà fait sursauter plus d’une direction technique cette année. Faire payer la surveillance de l’agent aurait été le meilleur moyen de la voir désactivée.

Quand la relecture humaine ne bloque que 13,6 % des commandes dangereuses

Anthropic a fait tourner une étude contrôlée auprès de 1 053 testeurs payants. Le mode auto y a bloqué 89 % des commandes dangereuses. Les relecteurs humains, eux, en ont arrêté 13,6 %.

L’explication de l’écart est moins flatteuse que le chiffre : les testeurs valident environ 97 % des demandes d’autorisation qui leur sont soumises. Le clic d’approbation est devenu un réflexe, pas une décision. La demande de permission ne protégeait donc plus grand-chose depuis un moment.

Sur les sessions réelles, l’entreprise a mesuré un taux de dommages sérieux involontaires 2,6 fois supérieur du côté des sessions approuvées à la main. Le red teaming interne a de son côté évité trois incidents notables : un envoi de données confidentielles vers des pages publiques, des opérations destructrices, et l’arrêt d’environ 2 000 processus qui auraient perturbé des entraînements sur GPU.

Un audit externe mené par Trajectory Labs complète le tableau sur le volet injection. Sur 720 tentatives, réparties en 72 scénarios testés dix fois, aucune n’a abouti contre Claude Fable 5, Opus 5 et Sonnet 5 en mode auto. Le même protocole affiche 5,83 % de réussite face à GPT-5.6 Sol.

Ces chiffres arrivent dans un contexte où Anthropic documente publiquement les comportements non désirés que ses propres modèles ont produits en environnement de test. Le mode auto ne prétend pas les faire disparaître. Il déplace le point de contrôle en amont de l’exécution plutôt qu’au moment du clic.

D’autres articles sur Horizon

• Taskade construit vos apps, nous l’avons testé
• Astra d’OpenAI pourrait franchir le seuil cyber critique
• La consommation des agents IA atteint 150 Wh par requête

Ce que la bascule impose aux équipes et aux concurrents

Pour un développeur, le changement se voit dès la première session : moins d’interruptions, un agent qui enchaîne. Anthropic mesure environ 25 % de pull requests supplémentaires chez les équipes déjà passées au mode auto. Boris Cherny, qui dirige Claude Code, a écrit que son équipe et lui l’utilisent exclusivement depuis plusieurs mois.

Pour une direction technique, la question change de nature. Le réglage se pilote désormais côté administrateur, via les managed settings, avec la possibilité de désactiver complètement le mode auto par fichier de configuration. C’est un travail de politique interne à mener avant le 14 août, pas après.

Les entreprises qui avaient déjà tranché contre l’outil ne sont pas concernées, à l’image d’Alibaba qui a bloqué Claude Code chez ses employés. Pour les autres, l’arbitrage se pose maintenant sur un terrain nouveau : accepter un agent qui décide seul, ou assumer un réglage plus strict que le défaut de l’éditeur.

Anthropic pose lui-même la limite. Sur les changements à fort enjeu touchant l’infrastructure de production, l’entreprise continue de recommander une relecture humaine des actions de Claude. Le mode auto est présenté comme le bon réglage par défaut, pas comme un blanc-seing.

Côté concurrence, la barre se déplace. Le taux d’injection réussie devient un argument comparatif public, au même titre que le prix du million de tokens. Les éditeurs d’agents de code qui laissent encore l’utilisateur seul juge de chaque commande devront expliquer pourquoi leur demande d’autorisation vaut mieux qu’un filtre automatique, alors que le premier réflexe documenté du développeur est d’approuver.

Reste le point de bascule économique. Un agent moins interrompu consomme davantage, et l’expérience de Microsoft, qui a coupé Claude Code après avoir brûlé son budget IA, rappelle que la fluidité a un prix. Le mode auto testé depuis mars vient de sortir de sa phase optionnelle : la prochaine mesure intéressante ne sera pas le taux de blocage, mais la facture mensuelle des équipes qui l’auront gardé.

Affaire à suivre sur Horizon.