Claude Code activera bientôt Auto par défaut sur Pro, Max et Team

Anthropic a annoncé le 7 août 2026 que le mode Auto de Claude Code deviendra le réglage par défaut des nouvelles sessions sur les forfaits Pro, Max et Team à partir du 14 août 2026. Si un utilisateur a déjà choisi un autre mode par défaut, Claude Code pourra afficher une invite unique pour proposer le changement, mais un réglage déjà épinglé restera en place. Sur Enterprise, l’API et les grandes plateformes cloud partenaires, ce mode reste pour l’instant optionnel afin de laisser le temps aux administrateurs de l’évaluer. (claude.com)

Concrètement, le mode Auto remplace une partie des demandes d’autorisation répétitives par un classificateur (un filtre logiciel qui juge chaque action avant exécution). Anthropic dit que ce filtre bloque les actions irréversibles, destructrices ou dirigées vers l’extérieur de l’environnement déclaré comme sûr. Si le filtre bloque une action, Claude essaie généralement une voie plus sûre ou redemande explicitement l’accord humain. Et s’il se heurte trop souvent à ce garde-fou, il revient au mode d’approbation manuelle. L’objectif est simple : éviter la fatigue de validation, ce moment où l’on finit par cliquer machinalement sur “autoriser”. (claude.com)

Le point important pour un développeur n’est pas le discours marketing, mais les chiffres publiés. Dans une étude contrôlée menée avec 1 053 testeurs professionnels rémunérés, les humains n’ont repéré qu’13,6 % des commandes dangereuses injectées dans l’expérience, contre 89 % bloquées par le mode Auto. Anthropic ajoute qu’en face à face, le mode Auto a bloqué 800 commandes qu’un humain aurait laissées passer, tandis que les humains n’en ont bloqué que 6 que le système aurait autorisées. L’entreprise note aussi que les humains deviennent moins vigilants à mesure que la session dure, alors que le taux de blocage du mode Auto reste stable. (claude.com)

Il y a aussi un impact direct sur les pratiques d’équipe. Anthropic affirme que les utilisateurs Teams et Enterprise qui ont adopté Auto livrent environ 25 % de pull requests (propositions de modification de code) en plus. Mais ce gain d’autonomie s’accompagne d’un vrai travail de configuration. Par défaut, le classificateur ne fait confiance qu’au répertoire de travail (le dossier courant) et aux remotes Git configurés (les dépôts distants déjà liés au projet). Si votre agent doit pousser vers l’organisation Git de l’entreprise, écrire dans un stockage cloud interne ou appeler des domaines maison, il faut les déclarer dans autoMode.environment, sinon ces actions seront bloquées comme des sorties externes potentiellement risquées. (claude.com)

Pour le lecteur qui utilise déjà des assistants de code en équipe, le changement concret est donc double. D’un côté, Claude Code pourra travailler plus longtemps sans vous interrompre, ce qui rend des modèles conçus pour les tâches longues plus utilisables sur de gros chantiers. De l’autre, il faut traiter Auto comme une politique de sécurité configurable, pas comme un simple bouton de confort. La documentation prévoit par exemple des règles permissions.ask pour remettre un checkpoint humain (une validation obligatoire) avant un git push ou la création d’une pull request, et une option autoMode.classifyAllShell pour forcer le passage de toutes les commandes shell (ligne de commande) dans le classificateur, même celles couvertes par des règles d’autorisation plus étroites. Pour une équipe, la bonne lecture de cette annonce n’est pas “l’agent est enfin sûr”, mais plutôt : “le défaut produit change, donc nos garde-fous doivent devenir explicites”. (code.claude.com)

Reste une réserve importante. Simon Willison, qui a relayé l’annonce le 8 août 2026, souligne que même les bons résultats publiés ne couvrent pas tous les scénarios imaginables, notamment ceux où une dépendance ou un outil tiers glisse une instruction malveillante dans une chaîne de commandes apparemment légitime. Autrement dit, Auto semble réduire fortement le risque de prompt injection (instruction cachée destinée à détourner l’agent), mais ne remplace ni l’isolation des accès, ni la limitation des secrets, ni la prudence sur ce qu’un agent peut exécuter seul. C’est sans doute le vrai message de cette bascule par défaut : l’agent devient plus autonome dans l’outil, donc la sécurité doit monter d’un cran dans l’environnement. (simonwillison.net)