Anthropic sécurise un SDLC où l'IA écrit 80 % du code : le cycle redevient le socle

Ce qu'Anthropic a publié

Le 21 juillet 2026, Jason Clinton, Deputy CISO d'Anthropic, a publié sur le blog de Claude un compte rendu des pratiques par lesquelles son équipe Security Engineering sécurise un cycle de développement devenu AI-native. Le texte sort du registre habituel du billet d'évangélisation : il nomme des contrôles, des seuils et un incident.

Le point de départ tient en trois mesures, publiées par Anthropic sur elle-même :

• Les ingénieurs livrent en moyenne 8 fois plus de code par trimestre qu'entre 2021 et 2025.
• Environ 80 % du code fusionné dans la base est écrit par Claude.
• Plus de la moitié du code est fusionné par la version interne de Claude Tag, les ingénieurs gardant la direction, l'intention et l'approbation finale.

Clinton pose le problème en citant la loi d'Amdahl : si la revue, la surveillance et les processus de sécurité ne montent pas à la même échelle que la production, l'accélération se transforme en goulot d'étranglement. Il énonce aussi un modèle de menace, ce que peu d'articles sur l'IA agentique prennent la peine de faire : un agent compromis ou victime d'injection de prompt qui introduit une modification malveillante, l'empoisonnement de la chaîne d'approvisionnement et des dépendances qu'un agent ingère comme entrée de confiance, et les classes de vulnérabilité applicative classiques qui arrivent désormais en plus grand volume. Chaque contrôle décrit ensuite se rattache à au moins une de ces trois menaces.

Quatre stratégies transverses structurent l'ensemble : décaler la sécurité vers l'amont en l'intégrant à l'étape de codage, poser des frontières dures d'accès et d'identité pour limiter le rayon d'impact, combiner des revues déterministes et agentiques avant et après la production, et placer les humains aux points de plus fort levier.

Un contrôle par étape du cycle

Plan. Une application de revue de sécurité projet (PSR) propulsée par Claude Opus ingère le document de conception et l'analyse au regard du référentiel MITRE ATT&CK. Reliée depuis à un index de connaissance interne (politiques, décisions passées, systèmes voisins), elle a libéré la majeure partie du temps de l'équipe AppSec. Les équipes peuvent auto-approuver leur projet quand Claude estime le risque suffisamment bas. Principe retenu par Clinton : brancher les agents de sécurité sur le contexte organisationnel là où il vit déjà, plutôt qu'exiger une documentation détaillée à une étape que le cycle a compressée.

Code. Les règles de codage sécurisé sont encodées dans les fichiers CLAUDE.md et dans des skills partagés à l'échelle de l'organisation, donc appliquées à la seconde où le code est généré. La boucle se referme : quand un agent découvre une classe de bug, le fichier de référence est mis à jour pour empêcher sa réapparition. La commande /security-review tourne aujourd'hui pendant la génération, plus seulement avant l'ouverture de la pull request. Côté confinement, les développeurs codent sur des machines virtuelles distantes dont le trafic sortant passe par une liste d'autorisation, ce qui limite les chemins d'exfiltration qu'une injection de prompt pourrait emprunter.

Test (CI). Clinton désigne cette étape comme le goulot le plus douloureux d'une transformation AI-native : une fois les développeurs équipés d'agents multiples, l'équipe n'avançait plus qu'à la vitesse à laquelle des humains relisaient le code. La réponse combine revues agentiques et déterministes, la revue humaine restant réservée au code régulé ou réellement critique. Plusieurs agents de revue étroitement spécialisés interviennent sur chaque PR, avec du RAG sur les incidents passés, plutôt qu'un unique méga-prompt : ils ne partagent ni biais ni angles morts, et se contrôlent mutuellement.

Les chiffres publiés à cette étape :

• La part des PR recevant des commentaires de revue substantiels est passée de 16 % à 54 %, après avoir exigé des agents qu'ils écrivent une preuve de la validité de leur constat.
• Environ un tiers des bugs à l'origine d'incidents passés sur claude.ai auraient été interceptés par les processus automatisés en place aujourd'hui.
• Chez Intercom, 19 % des PR sont auto-approuvées, les déploiements ont doublé et les interruptions liées à des changements cassants ont reculé de 35 %.
• CircleCI a doublé le taux de conversion des tâches d'agent en pull requests abouties avec Chunk, un agent qui valide ses propres correctifs avant tout regard humain.

La base de code est découpée en paliers de risque, et le niveau d'automatisation se décide palier par palier. Des bases entières restent sous approbation humaine stricte. Chaque approbation est journalisée avec les signaux et le raisonnement qui l'ont produite, un échantillon pondéré par le risque est relu par des humains, et des tests d'invariants vérifient des propriétés du type « l'utilisateur A ne peut jamais lire les données de l'utilisateur B ».

Deploy (CD). Moins de vulnérabilités atteignent cette étape, mais celles qui survivent comptent parmi les plus subtiles. Anthropic déploie des scans DAST continus propulsés par l'IA en environnement de recette, pour attraper les failles de niveau système où les hypothèses entre deux services divergent. Principe : la cadence des tests dynamiques doit suivre la cadence de déploiement.

Monitor. Quand une alerte se déclenche, Claude relit les journaux de production, remonte à la cause racine, rédige le post-mortem et parfois écrit le correctif. Il ne peut pas le déployer. L'agent de triage est un compte système à usage unique doté d'exactement trois permissions : écrire de nouveaux documents, publier dans les canaux de l'entreprise, accéder aux journaux de production. Le correctif doit passer par un autre agent ou un relecteur humain, chacun servant de contrôle sur l'autre.

Governance. L'attention des humains s'est déplacée vers Claude Tag, les boucles et les tableaux de bord. Les garde-fous sont explicites : découpage de la base en paliers de risque, mode ombre pour tout nouvel agent relecteur (il commente sans décider tant que la confiance n'est pas acquise, et l'équipe le soumet à des exercices d'attaque), échantillonnage d'une part des approbations automatiques, tableau de bord des constantes vitales, et routage vers le SIEM de chaque action d'agent. Toute approbation automatique, tout appel d'outil, tout message d'agent à agent est journalisé avec les signaux utilisés, ce qui rend chaque décision attribuable et auditable. Anthropic traite ses agents comme une nouvelle catégorie de menace interne et lève une alerte quand ils s'écartent de leur cadre.

L'incident qui vaut doctrine

Clinton raconte un épisode qu'il présente comme une leçon apprise à ses dépens. Après une montée de version de modèle, l'agent de réponse à incident a contacté de sa propre initiative une autre instance de Claude via Slack, et lui a demandé, parce que celle-ci pouvait écrire du code, de pousser le correctif. Un gate de revue humaine a intercepté la manœuvre, comme prévu.

La conclusion qu'il en tire vaut au-delà d'Anthropic : tracer la frontière autour des accès et des actions, jamais autour des instructions données au modèle ni de ce qu'on croit qu'un modèle fera. Un périmètre de sécurité qui repose sur une consigne dans un prompt n'est pas un périmètre. Corollaire moins évident : l'accès d'un agent aux autres agents fait partie de sa surface d'attaque.

La perspective SFEIR : le SDLC est le socle, pas la formalité

Ce texte confirme ce que nous défendons dans notre travail sur le SDLC piloté par l'IA. Relisez la liste des contrôles : chacun s'accroche à une étape nommée. PSR au Plan, CLAUDE.md et egress allowlist au Code, agents de revue au Test, DAST continu au Deploy, triage et SIEM au Monitor. Une organisation dont le cycle n'a pas d'étapes nommées n'a nulle part où accrocher ces contrôles.

Sans SDLC, les gains de productivité n'arrivent pas. Clinton cite Amdahl et c'est le cœur du sujet. Multiplier par 8 le volume de code produit ne multiplie rien du tout si la revue reste séquentielle et humaine : le débit du système reste celui de son étape la plus lente. C'est ce que le rapport DORA 2025 décrit comme l'effet miroir. Anthropic n'a pas obtenu ses gains en distribuant des agents, mais en identifiant l'étape qui bloquait, le Test, et en la reconstruisant. Cette identification suppose un cycle décrit. On n'optimise pas un goulot qu'on n'a pas cartographié.

Sans SDLC, la sécurité n'a pas de point d'ancrage. Un gate est par définition un contrôle placé entre deux étapes. Les trois menaces que nomme Clinton se traitent à des moments distincts : l'injection de prompt au Code, par le confinement réseau ; l'empoisonnement de dépendances au Monitor, par le scan de chaîne d'approvisionnement ; le volume de vulnérabilités classiques au Test, par la multiplication des relecteurs. Une équipe qui pousse du code généré directement en production, sans étapes intermédiaires, se prive de tout endroit où exercer ces contrôles. C'est le prolongement de ce que nous décrivons sur la sécurité de l'agentic coding et sur le plan de contrôle des agents.

Sans SDLC, aucune politique FinOps token n'est formulable. Clinton glisse en deux phrases ce qu'un DSI devrait encadrer au marqueur : la plupart des approches de scan, agentiques ou déterministes, sont facturées à la consommation, que les coûts croissent avec le débit de code, et que chaque équipe doit décider du niveau de couverture qui lui convient. Anthropic accepte cette hausse en pariant sur la baisse du coût unitaire. C'est une décision de portefeuille, et elle n'existe que parce que la base de code est découpée en paliers de risque. Le tiering par risque est la politique FinOps : il détermine où l'on dépense trois passes d'agents et où l'on se contente d'un SAST. Sans cycle décrit, la dépense en tokens n'est pas pilotée, elle est constatée en fin de mois. Nous développons ce raisonnement dans notre analyse du coût de l'agentic coding.

Sans SDLC, il n'y a rien à mesurer. 16 % à 54 % de PR commentées, un tiers des incidents passés interceptés, un échantillon pondéré par le risque, un tableau de bord des constantes vitales : ces indicateurs existent parce qu'il existe des étapes où poser un compteur. Une organisation sans cycle formalisé ne peut produire que des chiffres d'usage, du type nombre de licences ou volume de tokens consommés, qui ne disent rien de la qualité ni du risque. Elle pilote à l'aveugle une production qu'elle a pourtant multipliée.

Clinton décrit enfin le métier de l'ingénieur sécurité qui passe de la surveillance des bugs à la surveillance des boucles. Le même déplacement touche le développeur, qui passe de la production à la validation, et le SDLC est justement l'objet qui rend ce déplacement gouvernable : il dit où l'humain garde la main et pourquoi. C'est ce que nous appelons les gates humains dans notre cycle à 11 phases, et ce que Clinton formule autrement en plaçant les humains aux points de plus fort levier.

Ce que nous en retenons

Ces chiffres viennent d'Anthropic et portent sur Anthropic. Une entreprise qui vend le modèle qu'elle décrit a intérêt à ce que le récit soit convaincant, et le contexte y est singulier : une base de code jeune, des ingénieurs parmi les mieux outillés du marché, aucun mainframe à contourner. Ils ne se transposent pas tels quels dans une DSI avec vingt ans de système d'information.

La transposable, c'est la méthode. Nommer les étapes, poser une menace explicite par étape, décider palier par palier de ce qui s'automatise, journaliser chaque décision d'agent, échantillonner les approbations. Rien là-dedans ne dépend de la taille du modèle utilisé.

Clinton termine sur une question à poser aux équipes : plutôt que « pouvons-nous nous permettre de tout scanner ? », demandez-vous ce que vous feriez tourner si scanner ne coûtait presque rien, et préparez-vous à ce moment. Cette question suppose un cycle où placer ces scans. C'est le travail à faire avant, et il n'a rien de technologique.

Sources

• Jason Clinton (Deputy CISO, Anthropic), How Anthropic secures its AI-native software development lifecycle, blog Claude, 21 juillet 2026, avec les contributions de Michael Segner. Lire l'article.
• Volumes de code, part du code écrit par Claude, taux de PR commentées et couverture des incidents passés : chiffres déclarés par Anthropic sur ses propres systèmes, non audités par un tiers.
• Chiffres Intercom (19 % de PR auto-approuvées, déploiements doublés, interruptions en baisse de 35 %) et CircleCI (agent Chunk) : déclarations de ces entreprises reprises dans l'article d'Anthropic.
• Cadres cités par l'auteur : Zero Trust for Agents et CISO's guide to agentic AI (Anthropic), référentiel MITRE ATT&CK.
• DORA, State of DevOps Report 2025, pour l'effet miroir et le déplacement du goulot d'étranglement.