HERMES.md : un bug Anthropic entraîne une surfacturation de 200 $, le remboursement est refusé

Un utilisateur identifié sous le pseudonyme sasha-id a ouvert le 25 avril 2026 un ticket sur le dépôt GitHub officiel de Claude Code, documentant un comportement de facturation anormal qui lui a coûté 200,98 dollars en crédits d'usage supplémentaire, alors qu'il disposait d'un abonnement Max 20x à 200 dollars par mois avec une capacité hebdomadaire utilisée à seulement 13 %.

Le mécanisme en cause est précis et reproductible. Claude Code intègre dans son system prompt les messages de commit git récents du dépôt dans lequel il opère. Or, lorsque la chaîne de caractères exacte HERMES.md apparaît dans l'historique des commits — sensible à la casse —, les requêtes API sont routées côté serveur Anthropic vers une file de facturation distincte, celle des crédits d'usage extra, au lieu d'être décomptées du quota inclus dans le plan. Le bug est entièrement silencieux : aucune alerte, aucun avertissement, et le message d'erreur final — "You're out of extra usage" — ne donne aucune indication sur l'origine du problème. L'utilisateur a mis en évidence la cause par une méthode de recherche binaire systématique, en testant des branches orphelines, des clones de dépôts affectés et en isolant les messages de commit un à un.

Les étapes de reproduction fournies dans le ticket sont remarquablement minimales : il suffit d'initialiser un dépôt vide, d'effectuer un commit dont le message contient la chaîne HERMES.md (en majuscules, avec l'extension), puis de lancer Claude Code. La requête échoue immédiatement avec une erreur de quota extra-usage. Le même test avec "hermes.md" en minuscules, avec "HERMES" sans extension, avec "HERMES.txt", "AGENTS.md" ou "README.md" fonctionne normalement et consomme le quota du plan. La présence d'un fichier physiquement nommé HERMES.md sur le disque, sans mention dans les commits, ne déclenche pas le comportement.

Ce qui rend l'incident techniquement intéressant — et préoccupant — est l'architecture sous-jacente qu'il révèle. Le routage de facturation côté serveur Anthropic semble analyser le contenu du system prompt transmis par Claude Code, et une règle ou un identifiant interne lié à la chaîne HERMES.md modifie le comportement de comptabilisation. Il est probable que HERMES.md soit un nom de fichier de configuration ou d'instruction système utilisé en interne par Anthropic — potentiellement analogue à CLAUDE.md ou AGENTS.md — et que sa détection dans le contexte déclenche par erreur un chemin de traitement différent, facturé séparément. L'issue a été étiquetée bug et has repro par l'équipe Anthropic, ce qui confirme la reconnaissance du problème.

L'impact financier concret est de 200,98 dollars débités en crédits supplémentaires, pour des requêtes qui auraient dû être couvertes par l'abonnement mensuel déjà payé. Plusieurs projets de l'utilisateur sont devenus inutilisables une fois ces crédits épuisés. Le support Anthropic aurait, selon le rapport, refusé d'accorder un remboursement malgré la nature manifestement bugguée du comportement.

L'incident soulève plusieurs questions structurelles. D'abord, sur la transparence de la facturation : un outil comme Claude Code, destiné aux développeurs et intégré dans des workflows automatisés, peut consommer des crédits de manière invisible, sans que l'utilisateur dispose de moyens de détection en temps réel. Ensuite, sur la surface d'attaque involontaire que représente l'injection de contenu arbitraire dans un system prompt : le contenu des commits git — qui peut être contrôlé par des tiers dans un contexte collaboratif — influence directement le comportement de facturation côté serveur. Enfin, la politique de remboursement en cas de bug avéré côté fournisseur reste une zone de friction non résolue pour les utilisateurs professionnels d'API et d'outils CLI comme Claude Code.

Le ticket a été clôturé, sans que les détails du correctif ou d'un éventuel geste commercial envers l'utilisateur affecté soient rendus publics au moment de la rédaction.