Claude Code d’Anthropic a secrètement intégré des marqueurs cachés pour signaler les utilisateurs liés à 147 domaines chinois et laboratoires d’IA, ont révélé des développeurs cette semaine.
Points clés
- Des développeurs ont découvert que Claude Code encodait des détails de proxy et de fuseau horaire dans des marqueurs Unicode invisibles cachés dans les invites système
- Le mécanisme comparait les configurations à 147 domaines chinois et onze mots‑clés de laboratoires d’IA avant de modifier une ligne de date dans l’invite
- Anthropic a indiqué que ce code serait retiré dans la prochaine version de Claude Code après les alertes lancées par des développeurs et des chercheurs
Marqueurs cachés dans les invites
Un développeur qui procédait à de l’ingénierie inverse sur Claude Code version 2.1.196, en restaurant une fonctionnalité de contrôle à distance désactivée, a découvert du code obscurci, silencieusement présent depuis avril.
Les découvertes sont apparues sur Reddit le 30 juin sous un pseudonyme et ont été confirmées dans une analyse technique publiée sur GitHub.
Des analystes ont examiné trois versions distinctes de Claude Code et constaté que le mécanisme fonctionnait de manière identique dans chacune, sans aucune mention dans les notes de version malgré des mois de mises à jour. Il ne s’active que lorsqu’un utilisateur pointe Claude Code vers une adresse de serveur personnalisée au lieu de celle d’Anthropic. Une fois déclenché, l’outil lit le fuseau horaire du système et vérifie s’il correspond à deux villes liées à la Chine continentale.
L’adresse du proxy est ensuite comparée à une liste de 147 domaines cachée, obscurcie pour ne pas apparaître dans une recherche en texte brut et incluant Baidu, Alibaba, Ant Group et ByteDance, plus onze mots‑clés liés à des laboratoires d’IA chinois. Les résultats sont intégrés dans la phrase en apparence ordinaire « Today’s date is... », où un tiret est remplacé par une barre oblique pour un fuseau horaire chinois et où une apostrophe standard est remplacée par l’un de trois caractères quasi identiques.
À lire aussi : BitMine défie la vente massive avec un pari Ethereum de 43 M$, la stratégie vacille
Crise de confiance chez les développeurs
Les développeurs ont réagi avec inquiétude dès que le mécanisme est devenu public, soutenant qu’un outil ayant accès au code source et aux commandes shell doit à ses utilisateurs un niveau de transparence plus élevé qu’une simple fenêtre de chat. Un rapport de bug déposé sur le dépôt du projet a qualifié cette pratique de prise d’empreinte furtive et demandé quels autres signaux pouvaient être cachés aux utilisateurs. Des commentateurs ont remarqué que ce contrôle pouvait être contourné simplement en changeant un nom d’hôte ou l’horloge système.
Cela signifie qu’il étiquette surtout des développeurs ordinaires utilisant des proxys d’entreprise légitimes, plutôt que les opérateurs sophistiqués qu’il était censé détecter. Anthropic a précédemment accusé des laboratoires chinois, dont DeepSeek, Moonshot AI et MiniMax, d’avoir utilisé plus de 24 000 comptes frauduleux et plus de 16 millions d’échanges pour copier le raisonnement et le comportement de codage de Claude plus tôt cette année.
Un ingénieur d’Anthropic a reconnu le code sur les réseaux sociaux et indiqué qu’il serait retiré dans la version du lendemain, bien que l’entreprise n’ait pas publié de déclaration écrite officielle. L’épisode s’ajoute à une série de questions de sécurité autour de Claude Code cette année.
Des chercheurs de Microsoft ont divulgué en juin une faille d’injection d’invite dans son intégration GitHub, Check Point a signalé trois vulnérabilités distinctes en février, et le propre code source d’Anthropic a brièvement fuité en avril.
À lire ensuite : CZ affirme que Binance était à quelques jours de l’approbation MiCA avant que la politique ne s’en mêle