Sécuriser Claude Code : nouvel API de conformité, visibilité locale et gouvernance des identités

Pourquoi la sécurisation des agents locaux est cruciale

Claude Code exécute des commandes shell, lit des fichiers, invoque des outils MCP et agit avec les identifiants présents sur la machine du développeur. En août 2026, Anthropic a lancé de nouveaux endpoints de l’API de conformité qui offrent aux équipes de sécurité la vue la plus claire à ce jour sur cette activité. Pourtant, ces logs seuls ne permettent pas de distinguer un accès légitime d’une action malveillante. La sécurisation des agents IA locaux devient un impératif pour toute organisation utilisant ces harpons intelligents.

Les agents locaux représentent désormais 68,6 % des agents IA découverts par Token Security dans les environnements de ses clients. Ils héritent souvent des identifiants, du réseau et des permissions de l’utilisateur. Selon une enquête menée par la Cloud Security Alliance pour Token Security, 68 % des 418 professionnels IT et sécurité jugent leur visibilité sur les agents IA élevée, mais 82 % ont découvert un agent que la sécurité ignorait. Ces chiffres montrent l’ampleur du défi : la gouvernance des agents ne peut reposer sur la seule supervision de l’activité.

« Les logs d’activité seuls ne peuvent pas vous dire si l’accès d’un agent est légitime. » - Dan Abramov, Security Researcher

Les trois couches de visibilité pour Claude Code

Pour gouverner efficacement les agents locaux, trois couches de collecte de données sont nécessaires. Chacune couvre une partie du spectre, mais aucune n’est suffisante isolément.

Couche 1 : Managed settings, la base des politiques

Anthropic propose un mécanisme de gestion centralisé appelé managed settings. Chaque poste installant Claude Code reçoit un fichier JSON (sur Mac/Linux) ou une entrée de registre (sur Windows). Ces règles priment sur les configurations globales, projets et utilisateurs. Elles permettent d’appliquer un socle de sécurité à toutes les sessions Claude Code de l’organisation.

Les règles disponibles incluent :

• Listes d’autorisation et d’interdiction pour des serveurs MCP spécifiques.
• Expressions régulières sur les commandes bash.
• Désactivation de l’exécution de commandes par les skills, etc.

Cependant, ces politiques statiques réduisent la liberté des développeurs et ne tiennent pas compte du contexte dynamique. « Elles sont comme un gros rocher au milieu d’une rivière : elles perturbent le flux mais ne l’arrêtent pas. »

Couche 2 : L’API de conformité (nouveaux endpoints)

Le 11 août 2026, Anthropic a introduit trois endpoints dédiés aux sessions locales :

Ces endpoints loguent tout ce qui est communiqué au modèle : messages texte, tool_use et tool_result. Entre autres, on y trouve les commandes bash, les lectures et écritures, et même les appels MCP. Comme le modèle ne conserve aucun état côté serveur, l’intégralité du contexte est renvoyée à chaque tour, offrant une transparence inédite.

« Le transcript permet de construire un inventaire des agents : leurs skills, les serveurs MCP utilisés et leurs plugins. »

Néanmoins, certaines actions ne remontent jamais jusqu’au LLM. Les hooks, par exemple, s’exécutent localement entre la décision du modèle et l’exécution réelle. OpenTelemetry (OTel), intégré dans tous les harness, peut capter ces décisions de permissions et les logs de modification de configuration. De plus, si vous utilisez Claude Code avec un modèle non-Anthropic (Bedrock, Foundry, Google Cloud), l’API de conformité ne couvre aucune activité.

Couche 3 : Ce que seul l’endpoint peut révéler

L’API de conformité et OTel capturent ce que les agents font. Mais ils ne voient pas ce qui réside sur le disque : fichiers de configuration, skills et plugins installés (sauf s’ils sont utilisés), processus lancés hors session. Un agent endpoint peut moissonner les fichiers de configuration, récupérer les .md des skills et plugins, et corréler les logs EDR pour détecter des commandes bash suspectes.

Token Security trouve en moyenne plus de 10 fichiers de configuration par agent local, dispersés sur l’endpoint. Les transcripts locaux, stockés 30 jours par défaut, sont également accessibles : un acteur malveillant ayant accès à la machine peut les lire. Il faut donc les traiter comme des données sensibles.

Analyser les transcripts : astuces techniques

Pour extraire des logs d’actions atomiques à partir des transcripts de l’API de conformité, il faut comprendre la structure des messages. Chaque message est soit text, tool_use, ou tool_result. Voici comment identifier les différents artefacts :

Commandes bash

Chaque commande apparaît comme un tool_use avec "name": "Bash". La commande complète est dans le champ input. Exemple :

{
  "role": "assistant",
  "content": [{
    "type": "tool_use",
    "name": "Bash",
    "input": {"command": "grep -r secret /home/user"}
  }]
}

Serveurs MCP

Ils apparaissent comme tool_use avec un nom de la forme mcp__<server>__<command>. Les serveurs first-party (Jira, Slack, Notion) utilisent des noms lisibles. Les serveurs connectés par l’utilisateur s’affichent avec un UUID ; on le résout via le suffixe de commande ou une table de correspondance. « Environ 35,1 % des serveurs MCP découverts sont issus de la communauté ou d’origine inconnue. »

Skills

Les skills ne sont pas nommés directement, mais le harness envoie leur contenu SKILL.md dans le transcript : soit en injectant le texte, soit en effectuant une lecture (Read) sur le fichier. Le chemin dans tool_use donne le nom du skill.

Plugins

Plus difficiles, les plugins regroupent plusieurs types d’extensions. On reconnaît leur nom via les conventions de chemin lorsque l’un de leurs scripts ou fichiers .md est lu.

Les limites de la télémétrie seule : le besoin de gouvernance des identités

Même les trois couches réunies ne suffisent pas. Aucune ne capture le contexte de l’organisation. Un administrateur qui examine un transcript ne peut pas distinguer un plugin malveillant téléchargé du web d’un plugin légitime écrit par un ingénieur. La solution réside dans la corrélation avec l’identité : relier les skills et plugins découverts aux référentiels internes, aux propriétaires, aux identifiants, aux permissions et aux chemins d’accès.

La gouvernance des agents locaux nécessite un plan de contrôle identitaire qui transforme les signaux bruts en décisions exploitables. C’est là qu’intervient la gouvernance des identités : savoir qui a créé l’agent, dans quel but, avec quelles accréditations, et révoquer l’accès lorsque la mission prend fin.

Mise en œuvre : bonnes pratiques pour sécuriser vos agents Claude Code

Voici une liste d’actions concrètes à mettre en place :

1. Déployer les managed settings via MDM ou le plan entreprise d’Anthropic pour établir une baseline de sécurité (interdire certains serveurs MCP, limiter les commandes bash dangereuses).
2. Activer les endpoints de l’API de conformité et automatiser la récupération des transcripts. Stockez-les dans un système sécurisé, en limitant l’accès (ils contiennent des données sensibles).
3. Collecter les fichiers de configuration et les skills via un agent endpoint (Token Security, EDR, script interne).
4. Corréler les artefacts avec l’identité : chaque agent doit être associé à un utilisateur, un service ou une équipe, et ses permissions doivent suivre le principe du moindre privilège.
5. Mettre en place une politique de cycle de vie : supprimer les transcripts après 30 jours, révoquer les accès des agents inactifs, auditer régulièrement les serveurs MCP inconnus.
6. Utiliser OpenTelemetry en complément pour capturer les hooks et les décisions de permissions que l’API de conformité ne voit pas.

« La télémétrie montre ce qui s’est passé. La gouvernance exige de relier ces signaux au propriétaire, au but, aux identités et aux permissions. »

Conclusion : vers une gouvernance complète des agents IA

Les nouveaux endpoints de l’API de conformité d’Anthropic marquent une avancée significative pour la sécurisation des agents Claude Code. Ils offrent une visibilité sans précédent sur les actions locales. Cependant, cette visibilité ne devient un outil de gouvernance qu’en l’associant à la surveillance de l’endpoint et, surtout, à la gestion des identités. Sans contexte identitaire, les logs restent des données brutes impossibles à interpréter.

Pour les RSSI et les administrateurs, la priorité est de bâtir une architecture qui combine les trois couches et ajoute la couche identitaire comme quatrième pilier. C’est ainsi que l’on passe de la détection à la prévention, et que l’on peut répondre à la question essentielle : cet accès est-il justifié ? La gouvernance des agents IA n’est pas un produit, c’est une discipline qui s’ancre dans l’identité.