Mode automatique de Claude Code : audit des autorisations, modèles et sessions distantes

N’élargissez pas les droits du mode automatique au seul motif qu’un contrôle pertinent figure dans le changelog. Vérifiez d’abord la version exécutée, la politique effective, les limites du dépôt, le choix des modèles et le comportement des sessions distantes dans une recette isolée. La décision sûre dépend de votre configuration réelle.

Anthropic documente des changements concernant les décisions de confinement, les lectures hors des répertoires de travail, la sélection des modèles pour les sous-agents et certains échecs de sessions distantes ou planifiées. Une correction de lancement sous macOS 12 est également enregistrée. Ces faits officiels ne prouvent ni l’activation locale de chaque contrôle, ni une couverture complète des menaces, ni la justesse du code produit.

L’interprétation opérationnelle de CreatikLab est plus prudente : figer la version évaluée, cartographier ce que l’agent peut atteindre, tester les parcours permis et interdits, puis conserver des éléments qu’un autre ingénieur peut inspecter. Si un résultat important ne s’explique pas par la configuration et les journaux, l’extension du déploiement doit rester suspendue.

• Anthropic rattache à la version 2.1.257 une évolution de confinement du mode automatique. Trois catégories d’activité identifiées ne suivent plus l’autorisation automatique, sauf si l’environnement les considère comme attendues.
• Cette version ajoute une interaction initiale lorsque Claude Code tente une lecture au-delà de ses répertoires de travail. La clé permissions.blockReadsOutsideWorkingDirectories permet d’appliquer un blocage lorsque la politique l’exige.
• CLAUDE_CODE_SUBAGENT_MODEL_FORCE sert à imposer aux sous-agents leur modèle configuré ou, à défaut, le modèle principal, même si un autre choix a été défini lors du lancement ou dans la définition de l’agent.
• Anthropic indique que la version 2.1.258 résout un échec de sessions distantes et planifiées lié à une autorisation répétée.
• La même version résout une régression de lancement sous macOS 12.

Le changelog ne donne ni règle universelle de déploiement, ni exigence générale de licence d’entreprise, ni gain de productivité mesuré, ni réduction garantie du risque. Il ne décrit pas davantage vos dépôts, secrets, règles réseau, passerelles, tâches planifiées ou obligations réglementaires.

Représentez le parcours complet de l’agent : poste local ou environnement distant, identité utilisée, dépôts visibles, répertoires de travail, fichiers externes nécessaires, services cloud accessibles, passerelle et mécanisme d’autorisation. Étudiez séparément les sessions planifiées, car aucun opérateur n’est nécessairement présent pour interpréter une demande ou interrompre un comportement inattendu.

Classez chaque actif selon son impact métier et son mode d’accès. Un dépôt source, un manifeste de déploiement, un fichier d’environnement, un service de métadonnées cloud susceptible d’exposer des identifiants et une intégration inter-tenant n’ont pas les mêmes conséquences. La carte doit préciser si l’accès est direct, hérité de l’hôte, accordé par une passerelle ou limité à un identifiant propre à la tâche.

Distinguez accès, autonomie et qualité. L’accès décrit ce que le processus peut atteindre. L’autonomie définit ce qui continue, se bloque ou nécessite une confirmation. La qualité dépend des tests du dépôt et de la validation humaine. Les changements documentés par Anthropic éclairent surtout les deux premières couches, sans valider le résultat technique ou métier.

Transformez chaque inconnue en constat d’audit. Si personne ne peut expliquer quelle configuration l’emporte, sous quelle identité une tâche planifiée s’exécute ou où ses preuves sont conservées, n’en faites pas une hypothèse favorable. Attribuez un responsable et une condition de résolution.

La ligne consacrée au confinement doit utiliser des simulations isolées : une cible synthétique représentant des identifiants accessibles par métadonnées, une infraction inoffensive à la politique de sortie et une frontière de test figurant un autre tenant. Le résultat attendu est l’absence de poursuite par autorisation automatique, sauf classement explicite de l’activité comme attendue. L’équipe sécurité valide le résultat.

Pour les lectures externes, placez un fichier sans risque hors des répertoires autorisés. Vérifiez l’interaction initiale, puis évaluez séparément le réglage de blocage. L’équipe plateforme conserve la politique chargée, le chemin demandé, la réponse et l’état ultérieur du processus. Un avertissement et une interdiction persistante sont deux contrôles différents.

Pour la gouvernance des modèles, lancez des sous-agents dont la définition demande un choix contraire à la politique centrale. Relevez le modèle finalement sélectionné et la configuration qui explique cette route. Le responsable de la plateforme IA ne clôt la ligne que lorsque le comportement observé correspond à la règle écrite.

Pour la fiabilité distante, rejouez la séquence pertinente d’autorisation répétée dans une session distante, puis dans une session planifiée. Enregistrez la terminaison, les erreurs, les journaux et la reprise opérateur. Chaque ligne doit contenir version, environnement, demande, attendu, observé, emplacement des preuves et réviseur.

La règle CreatikLab est vérifiable : le périmètre ne s’élargit que si les scénarios interdits s’arrêtent proprement, si les actions légitimes restent réalisables et si chaque résultat majeur peut être reconstruit. Une démonstration positive dépourvue de test négatif ne satisfait pas la recette.

1. Recenser les versions réellement exécutées, les systèmes d’exploitation, les dépôts, les passerelles et les parcours distants ou planifiés.
2. Définir les répertoires de travail et justifier chaque dépendance extérieure. Retirer les accès hérités sans rapport avec la tâche.
3. Préparer des simulations isolées pour les catégories de confinement identifiées par Anthropic, avec des identifiants et des cibles synthétiques.
4. Exercer l’interaction initiale de lecture extérieure, puis évaluer permissions.blockReadsOutsideWorkingDirectories lorsque la politique requiert un blocage.
5. Établir la politique du modèle principal et des sous-agents. Introduire un choix contradictoire dans un agent de test et inspecter la décision finale.
6. Recréer de façon maîtrisée la condition d’autorisation répétée liée à l’échec distant documenté. Tester séparément l’exécution planifiée.
7. Soumettre chaque modification générée aux tests du dépôt, à l’analyse statique et à une revue humaine.
8. Documenter les exceptions, les emplacements de preuves, les déclencheurs de retour arrière et les responsables avant d’ajouter des utilisateurs ou des privilèges.

Commencez dans un dépôt jetable, sans secret réel, avec des frontières de répertoires représentatives. Ne passez à un dépôt interne de faible impact que lorsque la même batterie produit des résultats répétables. Le code plus sensible reste exclu jusqu’à ce qu’une autre personne puisse reproduire et expliquer les preuves.

Rejouez la checklist après toute modification matérielle de version, politique, passerelle, dépôt ou surface d’exécution. La recette appartient à un état de configuration déterminé; elle n’est pas une propriété permanente du nom du produit.

Mesurez la conformité au modèle opérationnel, pas la quantité de code produite. Suivez les scénarios interdits arrêtés ou escaladés, les actions autorisées accomplies sans blocage injustifié, les lectures extérieures traitées comme prévu, les sessions distantes ou planifiées arrivées à leur état terminal et les changements refusés pendant la revue.

Chaque événement doit contenir la version de Claude Code, la surface d’exécution, le dépôt, le mode d’autorisation, l’identifiant de politique effective, l’action demandée, le résultat attendu, le résultat observé, l’emplacement des preuves et le réviseur. Ajoutez une catégorie : refus de sécurité, erreur de politique, panne logicielle, défaut d’intégration, erreur opérateur ou problème de qualité.

Établissez une référence avec des tâches comparables avant de modifier version ou politique. Comparez un même type de dépôt, une difficulté proche et un standard de revue identique. Ne déduisez pas un gain de productivité d’un petit échantillon ou de tâches différentes. Le premier objectif est une opération maîtrisée et reproductible.

Tenez un registre d’exceptions en parallèle. Pour chacune, notez le besoin métier, l’accès supplémentaire, le contrôle compensatoire, l’approbateur et la condition de retrait. Une exception sans responsable ni critère de clôture risque de devenir silencieusement la norme.

Ces indicateurs constituent une spécification de recette CreatikLab, pas une promesse de performance d’Anthropic. Leur réussite montre seulement la conformité au dispositif testé; elle ne garantit pas le comportement de toute tâche, de tout dépôt ou de toute intégration future.

• Ne supposez pas qu’une fonction est active parce qu’elle figure dans le changelog. Inspectez la version exécutée et la configuration chargée.
• Ne confondez pas un avertissement initial avec une interdiction durable. Évaluez le réglage de blocage et recommencez après une modification de politique.
• Ne présentez pas l’évolution de confinement comme un modèle de menace complet. Des catégories précises sont identifiées, pas l’ensemble des risques.
• Ne transformez pas l’imposition d’un modèle en garantie d’exactitude, de sécurité ou de qualité du code.
• Ne supposez pas que la correction distante élimine tous les défauts de l’ordonnanceur, de la passerelle, de l’identité ou du dépôt.
• N’utilisez jamais des secrets de production pour démontrer un refus. Préférez des cibles synthétiques et une infrastructure isolée.
• Ne remplacez pas le moindre privilège, les tests, la revue de pull request, la réponse aux incidents ou le retour arrière par le mode automatique.
• Ne déduisez pas la valeur métier du nombre d’agents, des lignes générées ou de la vitesse d’une démonstration.

La dérive de configuration ajoute un risque. Anthropic enregistre une correction concernant des réglages placés dans un répertoire .claude créé après le démarrage. La leçon opérationnelle consiste à capturer l’état chargé par le processus, et non à contrôler uniquement les fichiers que l’équipe pense applicables.

Un essai réussi conserve un périmètre défini. Il ne certifie pas un autre système d’exploitation, dépôt, gateway, identifiant ou mode d’autorisation. Inscrivez ces exclusions dans le procès-verbal de recette pour éviter qu’un résultat limité ne devienne une approbation générale.

Exigez un inventaire des environnements et versions, une carte des accès, des scénarios de menace, un banc de recette isolé, l’enregistrement des politiques effectives, un test de routage des modèles, des essais de sessions distantes et planifiées, un registre des exceptions, un plan de conservation des preuves, une procédure de retour arrière et un guide opérateur.

Chaque contrôle doit relier preuve, décision, action corrective et responsable. Un statut vert générique ne suffit pas. Le dossier doit montrer la demande, l’attendu, l’observé, l’emplacement des traces et la condition qui empêcherait le déploiement.

Comparez les prestataires sur leurs tests négatifs, leur protection des secrets, leur vérification des substitutions de modèles, leur gouvernance de l’exécution sans surveillance et leur approbation des changements. Demandez-leur d’identifier les hypothèses restantes et de distinguer le comportement documenté par Anthropic de leur propre configuration.

Utilisez le service CreatikLab d’automatisation IA et de systèmes sur mesure pour demander un livrable expert précis : une proposition de plan de recette Claude Code comprenant la cartographie des accès, les cas de test, les champs de preuve, les responsables de décision et les critères de retour arrière. Validez le périmètre, les responsabilités et les hypothèses avant tout engagement.

Choisissez un dépôt, un profil de système d’exploitation et un parcours distant ou planifié. Définissez une lecture permise, une lecture extérieure interdite, des simulations de confinement, un choix de modèle contradictoire et la séquence d’autorisation répétée. Écrivez les résultats attendus avant l’exécution afin d’éviter toute réinterprétation.

Classez les constats par version du produit, politique locale, intégration, procédure opérateur ou qualité du code. Vous éviterez ainsi de répondre à un problème d’accès par davantage de prompting ou de traiter une panne inexpliquée comme une preuve de sécurité. Maintenez le déploiement élargi en pause si un résultat matériel ne peut pas être reconstruit.

Ouvrez Lia et indiquez la version de Claude Code utilisée, les dépôts et surfaces concernés, le mode de sélection des modèles, ainsi que la nature locale, distante ou planifiée de l’exécution. Demandez explicitement une proposition cadrée pour une cartographie des contrôles et un plan de recette revus par un expert. N’incluez aucun identifiant actif, secret de production ou contenu sensible des dépôts.

Que change le mode automatique de Claude Code ?

Anthropic documente une règle de confinement supplémentaire dans la version 2.1.257. Elle modifie l’autorisation automatique de trois catégories liées aux identifiants issus de métadonnées cloud, à l’évitement des contrôles de sortie et à l’accès à un autre tenant. L’environnement peut déclarer cette activité attendue.

Toutes les lectures hors des répertoires de travail sont-elles bloquées ?

Non. Anthropic décrit un premier avertissement lors d’une lecture extérieure et propose un réglage distinct pour bloquer ces accès. Le changelog n’établit pas que le blocage soit actif dans chaque installation.

Quel problème de session distante a été corrigé ?

La version 2.1.258 traite un échec touchant les sessions distantes et planifiées lorsqu’une autorisation retransmise ne pouvait pas être appliquée. Le symptôme documenté concernait un message utilisateur vide non valide.

Peut-on imposer une politique de modèle aux sous-agents ?

Anthropic a ajouté CLAUDE_CODE_SUBAGENT_MODEL_FORCE. D’après le changelog, ce mécanisme applique le modèle configuré pour les sous-agents, ou le modèle principal, même lorsqu’un autre choix figure au lancement ou dans la définition de l’agent.

La mise à jour garantit-elle la sécurité du mode automatique ?

Non. Un changelog décrit des modifications du produit; il ne certifie pas tous les dépôts ou toutes les infrastructures. Chaque organisation doit tester ses accès, ses refus, ses journaux, sa revue humaine et ses responsabilités.

Quels livrables faut-il demander à un intégrateur ?

Demandez un inventaire des environnements, une cartographie des accès et menaces, un banc de recette isolé, la vérification des politiques de modèles, des essais de sessions distantes, un plan de preuves, un registre d’exceptions et une procédure de retour arrière.