Claude Code passe en auto par défaut : l'humain ne filtre plus

Depuis le 14 août 2026, Claude Code démarre chaque nouvelle session en mode automatique sur les forfaits Pro, Max et Team. Le classifieur d'Anthropic examine désormais chaque commande avant qu'elle ne s'exécute, et il ne s'arrête que sur ce qu'il juge risqué. Pour nos équipes, qui utilisent l'agent au quotidien sur des intégrations Odoo et des connecteurs métier, ce basculement n'est pas cosmétique. Il déplace la responsabilité du filtrage, du développeur vers un modèle.

Nous voulons regarder ce que dit la mesure, avant de décider ce qu'on garde et ce qu'on adapte.

Ce qu'Anthropic a changé, et sur quel plan

Le changement figure dans le digest hebdomadaire officiel de Claude Code : le mode automatique devient le mode de permission par défaut pour les nouvelles sessions sur Pro, Max et Team à partir du 14 août¹. Il reste en opt-in sur Claude Enterprise, l'API, et les déploiements via Amazon Bedrock, Google Cloud et Microsoft Foundry. Un réglage disableAutoMode permet de le couper côté configuration, et le raccourci Maj+Tab fait toujours passer d'un mode à l'autre en séance.

Le principe : au lieu d'afficher une demande d'autorisation que le développeur valide à la main, l'agent route chaque action vers un classifieur distinct. Ce dernier bloque ce qui dépasse la demande initiale, ce qui vise une infrastructure qu'il ne reconnaît pas comme la vôtre, ou ce qui ressemble à une consigne glissée dans un contenu que l'agent vient de lire, autrement dit une injection de prompt.

Le chiffre qui justifie le basculement

Anthropic appuie sa décision sur une étude interne menée avec 1 053 testeurs rémunérés. Dans un scénario où une commande clairement dangereuse remplace une demande de routine en cours de session, les testeurs humains l'ont interceptée dans 13,6 % des cas, soit 143 sur 1 053. Le classifieur du mode automatique l'a bloquée dans 89 % des cas². L'éditeur avance aussi que les utilisateurs approuvent 97 % des demandes d'autorisation, un taux qu'il attribue au réflexe de clic plus qu'à un examen réel.

Un détail compte davantage que le score brut. La détection humaine s'effrite avec le temps : environ 17 % en début de session, autour de 5 % après une cinquantaine de demandes déjà traitées. Le taux de blocage du classifieur, lui, reste stable. Ce n'est pas une surprise pour qui a déjà validé quarante prompts d'affilée un vendredi soir. La vigilance a un coût cognitif, et ce coût finit toujours par se payer.

Source : étude Anthropic sur 1 053 testeurs, citée dans son annonce.

Ce que le chiffre ne règle pas

Ces mesures viennent de l'éditeur lui-même, pas d'un tiers indépendant, et nous les lisons comme telles. Un taux de blocage de 89 % laisse aussi une part de commandes risquées qui passent, autour de 11 % dans le même test. Sur une intégration qui touche une base de production ou un connecteur de facturation, cette marge n'est pas anodine.

Il faut également noter ce que le classifieur ne remplace pas. Il arbitre au moment de l'exécution, il ne relit pas la logique métier du code produit. La revue fonctionnelle et la revue de sécurité restent des étapes distinctes, un point que nous avons déjà creusé dans notre article sur la revue de sécurité qui migre dans la session de l'agent.

Dernier garde-fou du même trimestre, Anthropic a plafonné le nombre de sous-agents. La version 2.1.217 introduit une limite de sous-agents en exécution simultanée, fixée par défaut à 20, pour qu'un seul message ne déclenche pas une fanout incontrôlée d'agents en tâche de fond³. Une limite par session, à 200, encadre le total. Ces bornes disent quelque chose : la question de 2026 n'est plus la capacité de l'agent, mais son périmètre d'action.

Ce qu'une PME devrait faire, concrètement

Le réflexe de garder le mode manuel « pour être sûr » se retourne contre vous, puisque la donnée montre que la vigilance humaine décroche justement quand le volume monte. Nous retenons trois principes de travail.

D'abord, formaliser des règles de refus plutôt que de compter sur l'attention en séance. Claude Code accepte des règles deny explicites qui bloquent une action quelles que soient les autorisations par ailleurs, par exemple sur les chemins sensibles ou certaines commandes destructrices. Une règle tient sur la durée, une vigilance non.

Ensuite, réserver le mode manuel aux contextes où l'exécution est irréversible : accès à une base de production, opérations Git destructrices, déploiements. Le mode automatique convient bien aux boucles de développement local et de test, moins aux gestes qu'on ne peut pas rejouer.

Enfin, cadrer par la configuration versionnée, et pas par consigne orale. Le réglage disableAutoMode, les caps de sous-agents et les règles de permission appartiennent au dépôt, pas à la mémoire d'un développeur. C'est ce qui rend la politique auditable quand l'équipe grandit.

Notre lecture

Le basculement du 14 août acte une chose que le terrain connaissait déjà : l'humain qui approuve à la chaîne ne filtre plus grand-chose. Confier ce filtrage à un classifieur est une réponse rationnelle, à condition de ne pas la lire comme une garantie. Un taux de 89 % reste un taux, et les 11 % restants tombent parfois sur la commande qui compte.

Pour une PME ou une ETI qui outille ses équipes avec un agent de code, le vrai chantier n'est pas de choisir entre auto et manuel. C'est d'écrire une politique de permission qui survive au volume, dans le dépôt, testée comme du code. Le mode par défaut a changé chez l'éditeur. La gouvernance, elle, reste à votre charge.

Sources

• Claude Code, What's new (Week 32, 3-7 août 2026) : https://code.claude.com/docs/en/whats-new
• Claude Code, Changelog (versions 2.1.212 et 2.1.217) : https://code.claude.com/docs/en/changelog
• Anthropic, Auto mode is now the default in Claude Code for Pro, Max, and Team plans : https://claude.com/blog/auto-mode-default-in-claude-code
• ClaudeDevs, annonce du basculement du 14 août : https://x.com/ClaudeDevs/status/2085794862608318627