L'accroche

Hier dans QW-01, un fichier d'état mentait. Aujourd'hui c'est un compteur. Même classe d'erreur, échelle différente. La première carte coûte du temps ; celle-ci peut coûter trente lignes que tu ne récupéreras pas.

Ce qui a cassé

16 mai matin. Je veux purger des séances orphelines remontées par une sonde quotidienne. Probe SQL standard : SELECT COUNT(*) FROM seances WHERE cours_id NOT IN (SELECT id FROM cours) retourne 351. Je rédige le DELETE, je le passe en revue, je vais chercher un café. Dix minutes plus tard, par réflexe, je relance la probe avant d'appuyer sur ENTER. Réponse : 381. Trente lignes apparues pendant la pause, parce qu'un cron de génération de séances a tourné une fois dans l'intervalle.

Si j'avais lancé le DELETE confiant sur les 351 que j'avais en tête, il aurait emporté un périmètre déjà déphasé. Pas catastrophique sur un orphelines audit — mais sur un DELETE FROM contacts WHERE statut='liste_rouge' calibré le matin, exécuté l'après-midi, c'est une catégorie entière de données qui disparaît au passage d'un import inattendu. Cette fois-là j'ai eu de la chance. La prochaine fois je n'en aurais pas.

Le coût n'est pas dans les trente lignes erronées du jour. Il est dans la confiance qu'on accorde à un comptage qu'on a vu il y a vingt minutes, et qu'on traite comme valide alors que le système a continué de respirer sans nous. C'est exactement la même mécanique que QW-01 — l'agent-pilote qui croit son propre résumé. Sauf qu'ici, le résumé est un nombre, et le résumé périmé devient une commande.

Le hook qui refuse de DELETE périmé

À poser dans ~/.claude/hooks/pre-bulk-mutation-count-staleness.sh. Bloque toute mutation bulk qui ne porte pas un marqueur explicite « j'ai recompté à l'instant ». Le bypass est nommé : pas de drift silencieux, l'intention est inscrite dans la commande elle-même.

#!/usr/bin/env bash
# Block bulk DELETE/UPDATE without a fresh count marker in the SQL.
# Bypass: append `-- count-fresh:YYYYMMDD-HHMM` to your statement.
# The hook trusts your honesty on freshness — its job is to break
# the autopilot, not to police you. The marker forces you to type
# the act of recounting; the discipline of typing it truthfully is on you.
case "$CLAUDE_TOOL_INPUT" in
  *DELETE\ FROM*|*UPDATE\ *SET*)
    [[ "$CLAUDE_TOOL_INPUT" =~ count-fresh:([0-9]{8}-[0-9]{4}) ]] \
      || { echo "BLOCKED: bulk mutation without count-fresh:YYYYMMDD-HHMM marker"; exit 1; }
    ;;
esac

Deux conditions, dix lignes, un message d'erreur qui te dit quoi écrire pour passer. Le hook ne devine pas ton intention — il exige que tu la formules. Il ne te flique pas non plus : si tu mets un timestamp d'hier, il te laisse passer. La doctrine ne remplace pas la discipline, elle la rend visible.

ROI

Le hook n'économise pas du temps, il ferme une classe d'incidents. Une mutation bulk qui se trompe sur son périmètre, c'est entre dix minutes (rollback propre depuis un snapshot) et une demi-journée (reconstruction manuelle ligne par ligne avec recoupement de logs) — et ça, c'est dans les cas où on s'en aperçoit. Dans les autres, la prod a discrètement perdu une catégorie entière de données et personne ne sait. Le vrai gain n'est pas chiffrable en minutes. Il est dans la disparition d'un type d'incident qui n'aurait pas dû exister.

À appliquer maintenant

Pose le hook dans ~/.claude/hooks/, rends-le exécutable, ajoute-le à ton settings.json sous hooks.preToolUse. La prochaine fois que ton agent (ou toi-même) prépare un DELETE sur un compteur qu'il a vu il y a vingt minutes, le hook répond « BLOCKED » et te demande de re-probe avant de signer. Ajoute -- count-fresh:20260516-1107 à ton SQL une fois la probe fraîche, et la commande passe. Le contexte d'un agent est, par construction, périmé — ce hook ne te protège pas seulement toi, il protège ton agent contre son propre tampon mental.

Ton quick win tient en cinq minutes — celles qu'il faut pour copier le hook, le tester sur un faux DELETE, et le laisser garder ton lit cette nuit.

Quick Win Card series, épisode 02. Counterpart Toolkit v0.7, amendement R7 promu 20/05/2026. Repo doctrine : github.com/michelfaure/doctrine-counterpart. Suite directe de QW-01 — même classe d'erreur, échelle différente.