À partir du 14 août, Claude Code active Auto Mode par défaut sur les plans Pro, Max et Team. L’agent cesse de demander une confirmation à chaque étape et s’arrête uniquement quand un classificateur interne évalue l’action comme dangereuse ou irréversible. Les clients Enterprise doivent encore l’activer manuellement.

Pourquoi cela te concerne. Les chiffres inversent l’intuition. Dans une étude contrôlée avec 1.053 testeurs, les relecteurs humains ont intercepté 13,6% des commandes dangereuses. Le classificateur d’Auto Mode en a capturé 89%. Les équipes avec Auto Mode actif ont produit environ 25% de pull request supplémentaires, parce que l’agent ne s’arrête pas pour attendre un clic.

Un audit indépendant de Trajectory Labs a testé 72 scénarios d’injection de prompt, dix fois chacun. Sur 720 tentatives contre les modèles Claude en Auto Mode, zéro sont passés. Sur GPT-5.6 Sol en Codex Auto-Review, 5,83% ont réussi.

Anthropic recommande néanmoins une relecture manuelle pour les modifications de l’infrastructure de production. Le classificateur réduit le risque, il ne l’élimine pas.

C’est le chapitre avec les chiffres concrets d’une annonce que nous avions anticipée en juillet. Il clôt une semaine de versions de Claude Code (masquage des credentials, isolement des sessions, messagerie inter-sessions, spend-limit) qui transforme l’outil de chat polyvalent en runtime de production. La gouvernance passe du manuel à l’automatique.

En détail

Auto Mode existe depuis longtemps en tant qu’option. L’agent travaille seul et un classificateur évalue chaque action avant son exécution. Si l’action est sûre et réversible, elle procède. Si elle est dangereuse ou irréversible, elle demande une confirmation. Jusqu’à présent, le défaut était l’approche manuelle : Claude Code s’arrêtait à chaque étape et attendait ton clic.

Le changement de défaut à partir du 14 août s’appuie sur deux évidences.

La première est interne. Anthropic a mené une étude contrôlée avec 1.053 testeurs rémunérés plus du red-teaming interne. Les relecteurs humains qui approuvaient manuellement ont intercepté 13,6% des commandes dangereuses. Le classificateur d’Auto Mode en a intercepté 89%. Les équipes avec Auto Mode actif ont généré environ 25% de pull request supplémentaires, parce que l’agent ne s’arrête pas pour attendre.

La seconde est externe. Trajectory Labs, une entreprise de sécurité indépendante, a testé 72 scénarios d’injection de prompt, dix fois chacun. Les modèles Claude (Fable 5, Opus 5, Sonnet 5) en Auto Mode ont bloqué les 720 tentatives. GPT-5.6 Sol en Codex Auto-Review a laissé passer 5,83% des attaques.

Deux anecdotes opérationnelles d’Anthropic : lors d’une longue session, Auto Mode a arrêté Claude de charger des données confidentielles sur une page publique. Dans une autre, il a tué environ 2.000 processus qui auraient interrompu des jobs de formation sur GPU en cours.

Le paradoxe qu’Anthropic reconnaît. Moins souvent le développeur intervient, plus compte sa supervision quand il le fait. Mais construire une compréhension profonde d’un projet généré largement par Auto Mode sans implication humaine devient plus difficile. Anthropic l’écrit explicitement : pour les modifications de l’infrastructure de production, la relecture manuelle reste la recommandation.

Les limites. Les chiffres proviennent des tests d’Anthropic, avec un échantillon et une méthodologie choisis par la même entreprise qui vend le produit. L’audit de Trajectory Labs est indépendant mais couvre uniquement l’injection de prompt, pas d’autres vecteurs. Auto Mode n’est pas disponible sur Amazon Bedrock, Google Cloud Agent Platform ou Microsoft Foundry : ceux qui passent par ces canaux n’en bénéficient pas. Le classificateur consomme des tokens, mais Anthropic ne les facture pas.

Ce que cela signifie pour ceux qui construisent. La gouvernance efficace ne s’obtient pas avec des règles écrites que le modèle peut ignorer (nous l’avions mesuré : les modèles frontier suivent les policy documents moins de quatre fois sur dix). Elle s’obtient avec un classificateur qui regarde l’action avant qu’elle ne parte. C’est le même principe que les temporal policies et les rate limits d’AgentCore : un contrôle exécutable, pas une policy document.

Si tu veux donner des outils et des limites à ton propre agent, le cours sur les outils et leurs limites est le point de départ : décider ce que l’agent peut faire, ce qu’il ne peut pas faire, et comment intercepter la limite avant qu’il ne la traverse.