Donner un accès réseau à un agent, c'est toujours un compromis. Sans réseau, impossible d'installer une dépendance ou d'appeler une API. Avec un réseau trop ouvert, une commande piégée peut envoyer tes données n'importe où. Jusqu'ici, la sandbox de Claude Code gérait surtout ça avec une liste d'hôtes autorisés, sans lien avec une commande précise.
La version 2.1.271, publiée le 14 septembre, affine ce modèle en auto mode : les hôtes réseau sont désormais autorisés commande par commande.
Le principe : allowed_domains par commande
Selon le changelog, les outils Bash, PowerShell et Monitor acceptent désormais un paramètre allowed_domains en auto mode avec sandbox :
- la commande déclare les hôtes dont elle a besoin ;
- ces hôtes sont examinés en même temps que la commande par le classifieur de l'auto mode ;
- s'ils sont acceptés, ils sont ouverts pour cette commande seulement ;
- tout autre hôte est refusé.
Prenons un exemple. Claude veut installer une dépendance : la commande déclare le registre de paquets. Le classifieur juge la commande et l'hôte ensemble, les approuve, et la commande peut joindre ce registre, et rien d'autre. La commande suivante repart de zéro.
Avec une liste d'hôtes au niveau de la session, un hôte autorisé une fois l'est pour toutes les commandes suivantes. Si une commande ultérieure est piégée (par un fichier malveillant, une page web, un README), elle peut profiter de cette ouverture.
Avec des autorisations par commande :
- chaque ouverture réseau est justifiée par une commande précise ;
- le classifieur évalue l'intention et la destination ensemble, ce qui rend plus visibles les incohérences (une commande de build qui veut joindre un serveur inconnu) ;
- le rayon d'impact d'une commande piégée est limité aux hôtes qu'elle a déclarés et qui ont été acceptés.
C'est l'application d'une leçon que partageait Anthropic dans son article de mai sur le confinement : une liste de domaines autorisés n'est pas un simple filtre, c'est une attribution de capacités. Autant la rendre la plus étroite possible.
La 2.1.271 apporte deux autres changements notables à l'auto mode :
- les commandes shell en ligne (préfixées par
!) dans un skill ou une slash command suivent désormais les règles de permission du mode par défaut au lieu du classifieur ; une commande qu'aucune règle ne tranche passe en appel d'outil examiné ;
- les sous-agents rendent compte à leur appelant via un appel de restitution dédié, que le classifieur de sécurité examine, au lieu que leur dernier message soit examiné après coup.
On peut y voir une porte qui se ferme : le texte qu'un sous-agent renvoie à l'agent principal passe désormais par un contrôle explicite.
La 2.1.268 (10 septembre) avait déjà amélioré les refus : le message que reçoit Claude nomme la règle qui a bloqué l'action, et lui demande d'essayer une méthode plus sûre et de terminer le travail sans rapport avant de s'arrêter pour te solliciter. Moins d'interruptions inutiles, plus de transparence.
Enfin, la même version corrige des instructions de sandbox trop optimistes : quand l'isolation des fichiers est désactivée, Claude ne se voit plus présenter de listes de chemins qui ne sont pas appliquées.
La 2.1.267 (9 septembre) ajoute le réglage maxEffortLevel, global ou par modèle dans modelSettings. Il plafonne le niveau d'effort sur tous les fournisseurs, y compris Bedrock, Vertex et Foundry. Les utilisateurs peuvent toujours choisir un niveau inférieur.
Pour une organisation, c'est un moyen simple de maîtriser les coûts sans interdire un modèle : on garde Opus ou Fable, mais on évite les niveaux d'effort les plus gourmands là où ils ne sont pas nécessaires.
Les autres nouveautés de la semaine
- 2.1.269 (11 septembre) :
claude plugin eval exécute la suite d'évaluation d'un plugin et produit des résultats notés et reproductibles, avec un rapport JSON et HTML. Utile pour qui maintient des plugins.
- 2.1.271 : le fast mode est disponible dans les sessions distantes, cloud comme self-hosted runner, là où l'organisation l'autorise.
- 2.1.271 :
omitClaudeMd dans le frontmatter d'un agent permet à un sous-agent de tourner sans les fichiers CLAUDE.md de l'utilisateur et du projet (les fichiers de politique gérés restent chargés).
- 2.1.271 : dans Claude Code sur le web, une option d'accès réseau personnalisé dans l'éditeur d'environnements cloud, avec la même liste de domaines autorisés.
Dans les faits, tu devrais voir des sessions en auto mode qui demandent moins souvent ton accord pour les accès réseau légitimes, puisque la destination est jugée avec la commande, tout en étant plus strictes sur tout le reste.
Quelques conseils pour que ça se passe bien :
- décris clairement la tâche dans ton prompt : le classifieur juge si une destination est cohérente avec ce que tu as demandé ;
- documente les hôtes légitimes de ton projet (registre de paquets interne, API de test) dans ton
CLAUDE.md, pour que Claude les déclare correctement ;
- en cas de refus, lis la règle nommée : c'est souvent le signe qu'une commande fait plus que ce qui est nécessaire.
- Active la sandbox et utilise l'auto mode pour les tâches où il est pertinent.
- Mets à jour vers la 2.1.271 ou plus récent.
- Observe les refus : avec les règles nommées, tu comprendras mieux ce que l'auto mode bloque et pourquoi.
- En entreprise, envisage
maxEffortLevel pour cadrer les coûts.
- 2.1.271 : en auto mode avec sandbox,
allowed_domains par commande pour Bash, PowerShell et Monitor ; les hôtes sont examinés avec la commande et ouverts pour elle seule.
- Sous-agents : restitution via un appel examiné par le classifieur.
- 2.1.268 : des refus qui nomment la règle en cause.
- 2.1.267 :
maxEffortLevel pour plafonner l'effort.
