Anthropic aurait intégré du code espion caché dans Claude Code

Le 30 juin 2026, le compte X « International Cyber Digest » publie un tweet qui accumule rapidement 4,6 millions de vues et déclenche une vague de réactions dans la communauté des développeurs et des chercheurs en sécurité. L'accusation est directe : Anthropic aurait dissimulé dans Claude Code un code à comportement espion ciblant spécifiquement les utilisateurs chinois, en injectant silencieusement des métadonnées — fuseau horaire, informations sur le proxy utilisé, connexions potentielles à des laboratoires d'IA — à l'intérieur même des system prompts, à l'insu des utilisateurs.

Le mécanisme décrit est précis dans ses termes techniques. Selon le tweet, les données collectées ne transitent pas par un canal séparé et explicite, mais sont insérées dans le prompt envoyé au modèle, ce qui les rend invisibles pour un utilisateur qui n'examinerait pas la structure brute des requêtes. Ce mode opératoire, s'il était confirmé, constituerait une forme d'injection de contexte non déclarée, exploitant les permissions étendues dont dispose un coding agent — accès au dépôt de code, possibilité d'exécuter des commandes — pour collecter des informations sur l'environnement de l'utilisateur.

La portée géopolitique de l'accusation est l'un des éléments les plus sensibles. Le ciblage allégué des utilisateurs chinois, combiné à la mention de « connexions à des laboratoires d'IA », place l'affaire à l'intersection des tensions sino-américaines autour de la propriété intellectuelle et du contrôle des technologies d'intelligence artificielle. Dans ce contexte, l'hypothèse d'une forme de collecte de renseignement ou de conformité à des exigences réglementaires non divulguées a rapidement été évoquée dans les discussions sur Hacker News et d'autres forums techniques.

Plusieurs éléments invitent cependant à la prudence. La source principale reste un unique tweet d'un compte spécialisé en cybersécurité, sans publication de preuve technique détaillée — pas de capture du code concerné, pas d'analyse de trafic réseau, pas de diff documenté du code source de Claude Code. À la date de publication, aucune vérification indépendante n'a été rendue publique, et Anthropic n'a émis ni confirmation ni démenti officiel. L'absence de réaction formelle de l'entreprise alimente elle-même les spéculations, sans pour autant constituer un aveu.

La question de la transparence des system prompts dans les outils de coding assistés par IA est néanmoins un sujet de fond légitime, indépendamment de la véracité des accusations spécifiques portées ici. Les coding agents modernes, dont Claude Code fait partie, opèrent avec des system prompts parfois volumineux et non entièrement accessibles à l'utilisateur final. Ce manque de visibilité sur le contexte injecté par l'éditeur du service est une critique récurrente dans la communauté de la sécurité, qui souligne que des informations d'environnement — timezone, locale, configuration réseau — peuvent effectivement être collectées et transmises dans le cadre du fonctionnement normal d'un agent, sans que cela constitue nécessairement un acte malveillant, mais sans que l'utilisateur en soit informé de manière explicite.

Le cas illustre plus largement la tension entre la conception actuelle des agents IA et les exigences de transparence attendues des logiciels professionnels. Un outil doté de permissions sur un dépôt de code et capable d'exécuter des commandes système est, par nature, un vecteur de risque élevé si son comportement n'est pas entièrement auditable. La communauté open source a progressivement développé des réflexes d'audit du code des extensions et des agents, mais les couches propriétaires — comme les system prompts d'un service commercial — restent structurellement opaques.

Les questions ouvertes à ce stade sont multiples : Anthropic va-t-il publier une réponse technique détaillée ? Des chercheurs indépendants peuvent-ils reproduire le comportement décrit ? S'agit-il d'une fonctionnalité délibérée, d'un résidu de télémétrie non documentée, ou d'une interprétation erronée d'un mécanisme de contextualisation légitime ? La réponse à ces questions conditionnera largement la portée réelle de l'affaire, qui pour l'instant repose sur une seule source non corroborée ayant toutefois atteint une audience considérable.