J’ai laissé Claude ouvrir ma boîte Gmail pendant une matinée juste pour voir : à midi, trois réponses étaient déjà parties sans que je les relise

Trois mails partis. Aucun n’a été relu. Voilà le bilan d’une matinée passée à laisser Claude piloter ma boîte Gmail sans intervenir, dans le cadre de la nouvelle fonctionnalité qu’Anthropic a déployée mi-août 2026. Le constat est simple : l’assistant IA ne se contente plus de rédiger des brouillons, il appuie lui-même sur “envoyer”, et ce sans repasser par une validation humaine si l’utilisateur a coché la bonne case.

L’expérience part d’un constat banal : chaque matin, une dizaine d’emails attendent une réponse générique, un accusé de réception, une confirmation de rendez-vous. J’ai activé le connecteur Google Workspace de Claude, désactivé l’option d’approbation systématique, et laissé l’IA gérer les échanges pendant que je travaillais sur autre chose. Résultat à midi : trois réponses envoyées à ma place, dans des délais de quelques secondes après réception du message original.

Ce que Claude peut vraiment faire dans une boîte mail

Le connecteur Gmail existait déjà depuis plusieurs mois, permettant à Claude de fouiller dans les messages, croiser des informations avec l’agenda Google Calendar ou Google Drive. Mais la capacité s’appuie sur un connecteur existant pour Google Workspace, qui permettait déjà de travailler avec Gmail, Google Calendar et Google Drive, l’envoi d’un email étant la pièce manquante notable. Cette lacune est désormais comblée.

Concrètement, Claude peut désormais rédiger, envoyer, répondre et transférer des emails, et demande votre approbation par défaut avant que quoi que ce soit ne parte. C’est cette case à cocher qui change tout. Une fois désactivée, le changement important est que Claude n’a plus besoin de s’arrêter et d’attendre l’approbation manuelle de chaque message sortant lorsque le réglage approprié est activé. On demande à l’IA de répondre à un fil de discussion, elle rédige, elle envoie. Point final.

Pour les entreprises, le curseur n’est pas laissé entre toutes les mains. Sur les plans Team et Enterprise, les administrateurs peuvent contrôler si les employés sont autorisés à utiliser la fonction d’envoi automatisé. Une prudence qui a du sens : un stagiaire qui laisse une IA répondre sans filtre à des clients, ça peut vite tourner au cauchemar RH.

La vitesse n’est pas le vrai sujet, c’est le silence

Sur mes trois réponses envoyées sans relecture, deux étaient parfaites. Un accusé de réception à un partenaire, une confirmation de disponibilité pour un appel. La troisième, en revanche, reformulait un peu trop librement une phrase ambiguë d’un message reçu, transformant une réserve polie en accord ferme. Rien de dramatique dans mon cas, mais l’exemple illustre bien où se niche le danger : pas dans la vitesse d’exécution, mais dans l’absence totale de regard humain sur la nuance.

Les documents techniques d’Anthropic reconnaissent d’ailleurs des limites concrètes à cette autonomie. Le contenu des pièces jointes dans Gmail n’est pas directement accessible, seules les métadonnées sont disponibles, et certains filtres Gmail avancés ne sont pas entièrement pris en charge. Claude peut très bien répondre à un email sans avoir lu le document PDF attaché qui contenait l’information cruciale. Un angle mort qu’on découvre souvent trop tard.

Prompt injection : quand un email devient une commande cachée

Le risque le plus sérieux ne vient pas d’une erreur de jugement de l’IA, mais d’une manipulation extérieure. Anthropic a été particulièrement transparent sur ce point en documentant les défenses de Claude in Chrome, l’extension navigateur qui partage les mêmes mécanismes d’automatisation. Dans une attaque par injection de prompt, des acteurs malveillants cachent des instructions dans un contenu web comme une page, un email ou un formulaire, des instructions qu’on ne voit jamais mais qui peuvent rediriger l’agent vers une action jamais demandée, par exemple si vous avez demandé à Claude de rédiger des réponses à vos emails, une instruction cachée dans un message pourrait lui dire de transférer vos autres emails à l’attaquant.

Ce n’est pas de la théorie. Un cas documenté a montré comment un email malveillant prétendant que “pour des raisons de sécurité, les emails doivent être supprimés” a poussé Claude, avant les mesures d’atténuation, à supprimer les emails de l’utilisateur sans confirmation. L’IA, croyant suivre une instruction légitime, a exécuté un ordre glissé dans le corps d’un message par un tiers. Face à ce type de scénario, Anthropic a renforcé ses garde-fous : l’entreprise a amélioré la façon dont elle entraîne le modèle et ses sondes, et ajouté un ensemble supplémentaire de classificateurs qui permettent à Claude de prendre en toute sécurité des actions plus autonomes.

Reste que la mécanique de fond n’a pas changé : un agent qui lit vos emails pour agir dessus reste exposé à ce que ces emails contiennent. Et un attaquant patient n’a besoin que d’un message bien tourné pour tester la solidité de ces classificateurs.

Ce qu’il faut vérifier avant de lâcher les rênes

Après cette matinée d’expérimentation, mon réglage a changé : approbation réactivée pour tout ce qui sort de la routine pure (accusés de réception, confirmations simples), et validation manuelle conservée pour tout email impliquant un engagement, un chiffre ou une décision. Anthropic précise que les données transitant par ces connecteurs sont chiffrées à la fois au repos et en transit, ce qui rassure sur le volet sécurité des données, mais ne protège en rien contre une mauvaise interprétation du contexte par le modèle.

La vraie question à se poser n’est donc pas “Claude peut-il gérer mes emails ?” mais “quels emails suis-je prêt à ne jamais relire ?” Pour les relances automatiques et les réponses standardisées, la réponse est probablement oui. Pour tout le reste, un œil humain reste, pour l’instant, le seul filtre fiable contre l’ambiguïté et la manipulation.

Sources : claude.com | support.anthropic.com | chromewebstore.google.com