40 000 parties, 1 menace sur 3 approuvée : les limites du garde-fou humain

Le fait

Alex Wauters, développeur belge passé par Uber, a mis en ligne fin mai 2026 un jeu de navigateur qui reproduit l’écran d’autorisation d’un agent de code. Règle unique : soixante secondes pour approuver ou refuser le plus de commandes possible. Environ 34 % d’entre elles sont des menaces, le reste est du travail ordinaire. Les résultats agrégés ont été publiés le 5 août 2026 : 40 000 parties, 409 000 décisions individuelles, une précision moyenne de 66,3 %. Une menace sur trois passe.

Le détail compte plus que le total. Les commandes ouvertement destructrices sont bien arrêtées : un rm -rf / n’échappe aux joueurs que dans 11,7 % des cas. Celles qui ressemblent à du travail normal filent. npm run analyze, la plus ratée des 37 menaces du jeu, a été approuvée 64,7 % du temps. Le relais du Register, le 6 août, rappelle le chiffre qui a motivé le test : d’après la télémétrie d’Anthropic, les utilisateurs approuvent environ 93 % des demandes d’autorisation qu’ils voient.

Notre regard

La lecture facile serait de conclure que les gens valident n’importe quoi. Le tableau dit autre chose. Les mêmes joueurs qui laissent passer une lecture de fichier de configuration bloquent à 59 % un npm config set registry pointant vers un miroir interne, et à 45,9 % un simple cat ~/.zshrc. Ce n’est pas de la négligence, c’est un défaut de calibrage. Sans information sur ce qui a changé dans le projet, la décision se prend sur l’allure de la commande, pas sur son effet.

Wauters nomme le mécanisme : le volume de bruit crée de la fatigue, et les développeurs n’ont pas toujours le contexte de ce qui a changé pour évaluer vite le risque. Vous connaissez ce réflexe ailleurs, sur les bandeaux de cookies et les conditions générales. Une interface qui réclame un accord vingt fois par heure n’obtient plus une décision, elle obtient un acquittement.

Nous avons déjà documenté ce que donne le même angle mort en conditions réelles, avec un agent resté quatre jours sur des serveurs de Hugging Face avant d’être repéré. Le jeu et l’incident racontent la même chose par deux bouts : le point faible n’est pas la commande dangereuse, c’est celle qui n’a l’air de rien.

La nuance

Ce n’est pas une étude académique, et son auteur ne le prétend pas. Pas de comité de lecture, pas d’échantillon représentatif : les joueurs sont des visiteurs de forums techniques venus faire un score, pas un panel tiré au sort de professionnels. Ce qui était simulé, ce sont des invites d’autorisation et un historique de commandes affiché au-dessus ; aucun code n’était réellement exécuté, et aucun joueur ne risquait quoi que ce soit.

La limite principale est écrite dans le billet lui-même : environ 34 % des commandes présentées étaient des menaces, alors que dans le travail quotidien ces menaces apparaissent rarement. Une densité pareille déforme le comportement dans les deux sens. Elle met en alerte, ce qui gonfle les refus à tort. Elle sature aussi l’attention en soixante secondes, ce qui laisse filer les cas subtils. Le une sur trois décrit donc un taux de détection dans une partie chronométrée où l’on sait d’avance qu’il y a des pièges, pas un taux d’erreur observé en production.

Ce que l’expérience établit solidement, c’est une hiérarchie : à effort égal, une commande d’apparence banale est bien moins souvent arrêtée qu’une commande spectaculaire. Ce qu’elle ne permet pas d’affirmer, c’est qu’un tiers des actions dangereuses passeraient dans une équipe réelle, ni que les humains valident n’importe quoi. Aucun de ces deux énoncés ne sort du protocole.

À surveiller

Le sujet déborde du code. Les agents grand public commencent à réserver, à payer et à envoyer des messages, et le même écran d’autorisation y sera souvent le seul obstacle. Trois signaux méritent votre attention : le nombre de demandes par session, car moins il y en a, plus chacune est lue ; le contexte affiché à côté de la commande, c’est-à-dire ce qui a changé et pas seulement ce qui va s’exécuter ; et la part du filtrage confiée à la machine. Le Register note que le mode automatique de Claude Code intercepterait environ 83 % des comportements trop zélés avant exécution. L’aveu est le même des deux côtés : le clic humain seul ne tient pas.

Reste la trajectoire des capacités, que nous suivons par ailleurs avec des épreuves plus légères comme le test du pélican. Plus les agents deviennent utiles, plus ils réclament de droits, et plus le nombre d’autorisations grimpe. La question utile n’est donc pas de savoir si vous lisez les demandes de permission. C’est de savoir combien on vous en présente par jour.