Claude Code marque stéganographiquement ses requêtes

Le chercheur @kirushik a publié une analyse technique révélant que Claude Code, l'agent de codage développé par Anthropic, insère des marqueurs invisibles dans ses requêtes HTTP à destination de l'API Anthropic. Cette pratique, qualifiée de stéganographie de prompt, consiste à encoder des informations d'identification dans le trafic réseau de manière non visible pour l'utilisateur final.

La stéganographie appliquée aux communications réseau n'est pas un phénomène nouveau, mais son utilisation par un outil IA grand public dans ses échanges avec un service commercial mérite attention. Dans ce cas précis, les marqueurs seraient intégrés dans les requêtes pour signaler à l'API qu'elle traite une session issue d'un client automatisé — en l'occurrence Claude Code — plutôt qu'une interaction humaine directe via une interface classique. Ce type d'identification permet à Anthropic de distinguer les appels provenant de son propre outil des appels API génériques, ce qui peut servir à des fins de monitoring, de prioritisation du trafic, de facturation différenciée, ou encore d'application de politiques de sécurité spécifiques aux agents autonomes.

La méthode de marquage invisible se distingue des mécanismes d'identification habituels, comme les headers HTTP standards ou les paramètres explicites dans les requêtes. Ces derniers sont lisibles par quiconque intercepte le trafic. La stéganographie, en revanche, dissimule l'information dans des éléments apparemment anodins — espaces, formatage, ordre de certains champs — rendant la détection difficile sans analyse approfondie. C'est précisément cet aspect qui a motivé la découverte : @kirushik a inspecté le trafic réseau généré par l'outil et identifié des patterns inhabituels révélant ce marquage.

Sur le plan technique, Claude Code est un agent qui opère en ligne de commande, accède au système de fichiers, exécute des commandes et interagit de façon autonome avec des projets de code. En tant qu'agent, il génère un volume important d'appels API, potentiellement dans des boucles automatisées. Le marquage de ces requêtes permet à Anthropic de tracer précisément l'activité de son propre outil au sein de son infrastructure, indépendamment des mécanismes d'authentification classiques liés aux clés API des utilisateurs.

La question de la transparence se pose naturellement. Si le marquage stéganographique n'est pas documenté publiquement dans les spécifications de Claude Code ni dans les conditions d'utilisation de l'API, les développeurs qui analysent leur propre trafic ou construisent des outils intermédiaires pourraient ne pas en avoir connaissance. Cette opacité contraste avec les pratiques habituelles d'identification des clients API, qui passent généralement par des headers nommés explicitement comme User-Agent ou X-Client-Id.

Du point de vue stratégique, la capacité à distinguer les requêtes provenant d'agents autonomes de celles provenant d'utilisateurs humains présente un intérêt croissant pour les fournisseurs de modèles. La montée en puissance des architectures agentiques multiplie les appels automatisés, et les prestataires cherchent à mieux caractériser l'usage réel de leurs modèles. Le marquage invisible offre un canal d'identification robuste, difficile à contourner ou à imiter accidentellement par des tiers.

Il reste plusieurs questions ouvertes. La nature exacte du vecteur stéganographique utilisé — espaces Unicode, ordre des paramètres JSON, variations de formatage — n'est pas publiquement détaillée dans les informations disponibles à ce stade. On ignore également si d'autres clients officiels d'Anthropic (Claude.ai, les SDK officiels) utilisent des mécanismes similaires, et si ce comportement est délibérément non documenté ou simplement absent des documentations publiques par omission. La réaction d'Anthropic face à cette découverte n'a pas été communiquée.

Ce cas illustre plus largement un enjeu émergent dans l'écosystème IA : la transparence des communications entre agents et services backend. À mesure que les outils agentiques prolifèrent et traitent des données sensibles, la question de ce qu'ils transmettent — visiblement ou non — à leurs services sous-jacents devient un point de vigilance légitime pour les développeurs et les organisations qui les déploient.