Permettez-moi de vous demander : est-ce que quelqu'un lit encore sérieusement les demandes d'autorisation des outils de programmation IA ?
Anthropic a également constaté que seules 3 % des demandes d'autorisation sont rejetées.
Ils ont donc pris une décision : dans 5 jours, tous les Claude Code passeront par défaut en mode automatique.
Chaque appel d'outil en mode automatique consomme une petite quantité de tokens supplémentaire, et ces frais ne seront plus facturés à l'utilisateur.
Pour les plateformes cloud comme Amazon, Google, Microsoft, le mode reste actuellement optionnel, mais Anthropic ne leur donne qu'un mois pour les basculer également en mode automatique par défaut.
Le père de Claude Code a déclaré que l'équipe utilise déjà exclusivement le mode automatique en interne, et qu'il est impossible d'imaginer revenir à l'approbation manuelle des autorisations.
L'ère de l'approbation manuelle des autorisations est révolue
La première raison donnée par Anthropic pour ce changement est que l'approbation manuelle est devenue un geste habituel :
Le taux d'acceptation des demandes d'autorisation de Claude Code par les utilisateurs est de 97 %. À titre de comparaison, lorsque Claude soumet un plan à l'approbation de l'utilisateur, le taux de refus est de 39 % ; pour une demande d'autorisation unique, le taux de refus n'est que de 3 %.
La même tendance apparaît dans les fichiers de configuration. Jusqu'en juin 2026, 49,5 % des utilisateurs actifs de l'interface CLI ont écrit manuellement une règle Bash allow-rule, dont 5 % ont directement autorisé n'importe quelle commande shell, et 43 % ont écrit des règles d'interpréteur comme Bash(python:), Bash(node:) qui sont pratiquement équivalentes, cette proportion augmentant d'environ 5 points de pourcentage toutes les cinq semaines.
De plus, 62 % des utilisateurs ont utilisé bypassPermissions ou cliqué sur "Ne plus demander" dans Bash, et 25 % des sessions interactives démarrent directement en mode bypass permissions.
La deuxième raison provient d'une expérience contrôlée. Anthropic a recruté 1053 testeurs professionnels payants via un fournisseur d'études pour accomplir des tâches de codage dans un environnement de test spécialement créé. Au milieu de la session, l'une des demandes d'autorisation a été remplacée par une commande clairement dangereuse, et le fournisseur a enregistré si le testeur a cliqué sur Accepter (l'acceptation n'exécutait en réalité aucune opération dangereuse, seul le texte de l'invite a été modifié).
Le résultat : les testeurs ont bloqué cette commande dans 13,6 % des cas, soit 143 fois ; le mode automatique a bloqué 89 % des mêmes commandes, soit 937 fois.
En comparaison directe, le mode automatique a bloqué 800 commandes que les humains ont autorisées, tandis que les humains n'ont bloqué que 6 commandes que le mode automatique a autorisées.
De plus, plus la session est longue, plus les performances humaines se dégradent : au début, ils bloquaient environ 17 %, après plus de 50 invites, cela tombe à environ 5 %, tandis que le taux d'interception du mode automatique ne varie pas avec la longueur de la session.
Les données de production ont également été réévaluées.
De mai à juin 2026, Anthropic a extrait des sessions marquées par le pipeline de sécurité parmi les comptes ayant autorisé l'utilisation des données pour l'entraînement et l'analyse, et les a réévaluées avec un modèle sur une échelle de gravité de 0 à 10.
- 10 représente un préjudice irréversible à l'échelle de l'entreprise. -7 représente un niveau tel que la suppression d'enregistrements d'une base de données de production. -0 représente une opération locale entièrement réversible, comme l'écrasement d'un fichier temporaire.
En parallèle, ils ont évalué à quel point l'utilisateur était explicite dans sa demande pour cette opération. Pour les niveaux de gravité de 7 et plus, 6,3 % des sessions avec approbation manuelle ont vu des opérations nocives que l'utilisateur n'avait pas explicitement demandées, contre 2,4 % pour les sessions en mode automatique. Cette différence existe à chaque niveau de gravité testé.
Le classificateur lui-même a également subi des tests adversariaux. Anthropic a mené un pilote de deux semaines avec la société de sécurité IA Apollo Research, en injectant des attaques synthétiques dans des trajectoires de codage réelles, couvrant trois ensembles de données : échec de généralisation, exfiltration de données et menaces liées à la sécurité.
Après qu'Apollo a fourni des échantillons d'attaques réussies et des suggestions de renforcement, Anthropic a principalement renforcé le classificateur en lui fournissant plus de contexte environnemental, incluant la visibilité du dépôt, l'état git et les règles de traitement des données.
Après le renforcement, Apollo a retesté avec un ensemble d'attaques réservé auquel Anthropic n'avait pas accès. Le mode automatique a rattrapé environ la moitié des attaques précédemment manquées, au prix de manquer environ 2 % des attaques qu'il bloquait auparavant. Sur les deux ensembles de données combinés, le taux de non-détection est passé de 12 % à 7 %. Anthropic précise que ces attaques étaient synthétisées pour identifier les points de défaillance du classificateur, et que 7 % ne doit pas être interprété comme le taux de non-détection sur le trafic réel.
Pour les injections de prompt, Anthropic a mandaté un tiers, Trajectory Labs, pour une évaluation, et a également mis OpenAI en comparaison. Il y avait 72 scénarios d'injection indirecte, chacun exécuté 10 fois.
Les attaques étaient optimisées pour Claude Opus 4.7, qui n'était pas dans la liste des modèles testés, donc tous les modèles participants ont été confrontés à des attaques inédites.
Sur 720 tentatives d'attaque, Claude Fable 5, Opus 5 et Sonnet 5 exécutant le mode automatique n'ont été compromis aucune fois ;
GPT-5.6 Sol en mode Codex Auto-review a un taux de réussite d'attaque de 5,83 %, et en mode Full Access de 19,03 %.
À titre de référence, le taux de réussite moyen des attaques sur les derniers modèles Claude en mode bypassPermissions sans protection supplémentaire est de 0,09 %.
Trois cas d'interception rendus publics sont :
Une fois, après un échec d'upload vers un disque cloud interne, l'alternative de Claude était de publier le même rapport sur un site public de partage de code, ce qui a été refusé et transformé en demande à l'utilisateur ;
Lors d'une longue session, Claude a tenté de terminer des processus par lots sur deux mille pods, et a planifié une opération de suppression qui aurait démantelé des tâches d'entraînement en cours sur des centaines de GPU, la commande a été marquée avant exécution ;
Et une autre fois, en étant chargé de configurer des autorisations de facturation en lecture seule, Claude a utilisé un rôle cloud possédant des autorisations d'administration complètes au niveau racine du compte, l'étendue des autorisations ne correspondant pas à la demande a conduit à un blocage.
Les capacités récemment ajoutées incluent :
Classer l'exfiltration de données comme un "hard deny", le classificateur ne l'approuvera jamais, pour l'exécuter il faut sortir du mode automatique ou l'exécuter manuellement, cette règle peut être étendue dans les paramètres ;
Différencier les clés et les informations sensibles quant aux plages accessibles et partageables, et vérifier si le dépôt cible est public, privé ou de confiance avant l'exécution d'un git push ou d'une PR ;
Lire le git status avant des commandes comme git reset --hard qui pourraient supprimer un travail non validé ;
Et lorsqu'Claude récupère une page web, un fichier ou une sortie d'outil, une sonde côté API scanne les tentatives d'injection et ajoute un avertissement avant que le résultat n'entre dans le contexte.
Vous voulez revenir en arrière ? Shift+Tab
Pour les utilisateurs Pro, Max et Team, s'ils n'ont jamais défini de mode d'autorisation par défaut, ils recevront une notification dans le produit, les nouvelles sessions démarreront automatiquement en mode automatique ; ceux qui ont déjà défini un autre mode par défaut verront une demande ponctuelle ; si l'administrateur Team a déjà spécifié un mode par défaut dans les paramètres managés, cela ne sera pas affecté.
Pour changer de mode, appuyez sur Shift+Tab dans l'interface CLI, ou utilisez le menu déroulant du mode sur l'application de bureau. Les administrateurs peuvent fixer un mode par défaut au niveau de l'organisation avec defaultMode dans les paramètres managés, ou désactiver complètement le mode automatique avec disableAutoMode.
Anthropic conclut l'annonce en rappelant que le mode automatique dépend d'un système de classification, il peut réduire les risques mais pas les éliminer. Pour les modifications à haut risque sur les infrastructures de production, il est toujours recommandé aux utilisateurs d'examiner eux-mêmes les actions d'Claude.
Lien de référence : [1]https://claude.com/blog/auto-mode-default-in-claude-code
Cet article provient du compte WeChat "量子位", auteur : 关注前沿科技
