Claude Code et la Stéganographie : la NVDB chinoise tire la sonnette d'alarme

Le 8 juillet 2026, la National Vulnerability Database (NVDB) chinoise, une plateforme de cybersécurité gouvernementale affiliée au ministère de l'Industrie et des Technologies de l'information , a publié un avertissement sur son compte WeChat. Celui-ci signalait que plusieurs versions de Claude Code d'Anthropic, publiées entre avril et juin 2026, contiennent un « mécanisme de surveillance intégré » capable de transmettre des informations sensibles, y compris la localisation géographique et des identifiants personnels, vers des serveurs distants sans le consentement de l'utilisateur . La NVDB a ordonné aux développeurs de désinstaller ou de mettre à jour les versions concernées , et le Wall Street Journal a rapporté que la Chine qualifiait ces failles de « vulnérabilités de type porte dérobée de sécurité » .

Cette alerte officielle faisait suite à un scandale plus large qui avait éclaté huit jours plus tôt : des chercheurs en sécurité avaient découvert que Claude Code utilisait des marqueurs stéganographiques — des altérations cachées et quasi invisibles, intégrées dans ses propres invites système — pour suivre et identifier silencieusement les utilisateurs, en particulier ceux connectés à la Chine. Le récit qui suit s'appuie sur des travaux de rétro-ingénierie menés par la communauté, les reportages de grands médias comme Reuters, le Washington Post et le SCMP, ainsi que les déclarations d'Anthropic.

L'avertissement de la NVDB : une alerte de sécurité au niveau gouvernemental

Dans son alerte du 8 juillet, la NVDB a spécifiquement ciblé les versions 2.1.91 à 2.1.196 de Claude Code, affirmant que le mécanisme de surveillance de l'outil pouvait poser « une menace sérieuse » en envoyant des données utilisateur à des serveurs distants sans consentement . La base de données a conseillé aux organisations et aux utilisateurs de vérifier immédiatement les systèmes concernés et soit de désinstaller les versions impactées, soit de passer à la dernière version sécurisée, dans laquelle le code de la prétendue porte dérobée avait déjà été supprimé .

L'alerte de la NVDB n'est pas venue de nulle part. Elle a été le point culminant d'une controverse publique d'une semaine, impliquant des chercheurs en sécurité indépendants, une fuite sur Reddit et une guerre froide plus large entre les États-Unis et la Chine dans le domaine de l'IA, qui se joue désormais dans les outils de développement.

Les méthodes de pistage stéganographique révélées

Le 30 juin 2026, un développeur publiant sous le pseudo Thereallo sur le site thereallo.dev a pratiqué la rétro-ingénierie du binaire de Claude Code et a découvert que celui-ci intégrait silencieusement des empreintes de l'environnement utilisateur dans sa propre invite système depuis environ trois mois . Cette technique, désormais largement appelée « stéganographie d'invite », reposait sur plusieurs méthodes :

Manipulation de la chaîne de date : Claude Code modifiait silencieusement la ligne de date de l'invite système en alternant entre une apostrophe courbe (ʼ) et une apostrophe droite (') dans « Today's », et en remplaçant les séparateurs de date (tirets par barres obliques) en fonction de l'URL de base de l'API configurée par l'utilisateur . Ces variations Unicode, visuellement identiques, étaient invisibles pour l'utilisateur mais servaient de marqueurs de suivi univoques, lisibles par les serveurs d'Anthropic.

Empreinte du proxy et de la localisation : Le mécanisme était déclenché lorsque la variable d'environnement ANTHROPIC_BASE_URL était définie sur un point de terminaison non-Anthropic — un signe que le trafic était acheminé via un proxy tiers. L'outil encodait alors le nom d'hôte du proxy par rapport à une liste de domaines concurrents, obfusquée par un XOR . Les marqueurs cachés vérifiaient si le trafic était routé via des laboratoires d'IA chinois, des revendeurs de proxy, ou était autrement lié à la Chine . Une analyse a révélé que l'outil inspectait une liste codée en dur de plus de 25 domaines chinois .

Détection des utilisateurs chinois introduite dans la version 2.1.91 : La version 2.1.91 de Claude Code, publiée le 2 avril 2026, intégrait secrètement une logique de détection des utilisateurs chinois via la stéganographie dans son invite système. Cela a été découvert pour la première fois par l'utilisateur Reddit LegitMichel777, qui a pratiqué la rétro-ingénierie du code obfusqué le 30 juin . La technique impliquait l'échange d'apostrophes et de formats de date pour encoder des données de localisation invisibles pour les utilisateurs .

Portée et durée : Le code d'empreinte était présent dans plus de 90 versions de Claude Code, sans aucune mention dans les notes de version , et ce pendant au moins trois mois avant d'être exposé publiquement le 30 juin 2026 . Un employé anonyme d'Anthropic l'a décrit comme une « expérience » ayant débuté en mars .

Le Washington Post a rapporté que l'objectif apparent d'Anthropic était de « démasquer les rivaux chinois que l'entreprise soupçonnait de détourner sa technologie pour améliorer leurs propres outils d'IA », c'est-à-dire de détecter la distillation de modèles ou l'utilisation non autorisée de l'API par des entreprises chinoises . Cette pratique, connue sous le nom de « distillation », consiste à utiliser les résultats d'un grand modèle pour en entraîner un plus petit et moins coûteux, et est une préoccupation courante pour les entreprises d'IA de pointe.

La réponse d'Anthropic

La réponse d'Anthropic s'est déroulée en deux phases, reflétant la double nature de la controverse.

Sur la stéganographie (début juillet 2026) : Après la divulgation publique du 30 juin, Anthropic a confirmé qu'elle supprimait le code de stéganographie caché et retirait la fonction de suivi dans la version 2.1.197, publiée le 1er juillet 2026 . L'entreprise a présenté cela comme une « expérience anti-abus » destinée à détecter les utilisations non autorisées de l'API et la distillation de modèles par des concurrents chinois . Anthropic a maintenu que ce suivi n'était pas destiné à la surveillance des utilisateurs, mais à la protection contre le vol de propriété intellectuelle — en particulier, pour identifier les entreprises chinoises suspectées d'utiliser les résultats de Claude pour entraîner des modèles rivaux .

Sur l'alerte de porte dérobée de la NVDB (8-9 juillet 2026) : En réponse à l'avertissement formel de la Chine, Anthropic a changé de ton. L'entreprise a déclaré que les utilisateurs en Chine n'avaient de toute façon jamais été autorisés à utiliser Claude Code et qu'ils y accédaient en violation de ses conditions d'utilisation . En substance, Anthropic a fait valoir que la prétendue « porte dérobée » était une contre-mesure contre des utilisateurs non autorisés qui n'auraient pas dû avoir accès au logiciel . Cette riposte a suscité de vives critiques de la part des défenseurs de la vie privée, qui ont souligné que la nature cachée du suivi, combinée à l'absence de transparence, constituait une violation de la confiance, indépendamment de la localisation géographique de l'utilisateur ou de son statut vis-à-vis des conditions d'utilisation.

Conséquences pour les entreprises et répercussions géopolitiques

L'incident a déclenché des réponses immédiates et significatives de la part des entreprises. Dès le 3 juillet 2026 — avant même l'alerte de la NVDB — Alibaba Group avait déjà interdit Claude Code à l'ensemble de ses employés, avec effet au 10 juillet, après qu'un examen de sécurité interne a classé l'outil de développement comme « logiciel à haut risque présentant des vulnérabilités de sécurité » . La décision du géant technologique chinois était une réponse d'entreprise rare, signalant la gravité avec laquelle les entreprises chinoises considéraient le code de suivi.

L'épisode est largement considéré comme un nouveau front dans les tensions entre les États-Unis et la Chine en matière d'IA, concernant la propriété intellectuelle, la sécurité des modèles et la confiance dans la chaîne d'approvisionnement . Le Washington Post l'a décrit comme faisant partie d'une « bataille secrète entre les États-Unis et la Chine », où chaque camp tente de détecter et de contrer les activités de renseignement de l'autre dans le domaine de l'IA . Le fait que le code de suivi ait été découvert par la communauté de la rétro-ingénierie — plutôt que divulgué par Anthropic — a encore approfondi la crise de confiance dans les outils d'IA destinés aux développeurs.

Enseignements clés pour les développeurs

L'incident de stéganographie de Claude Code comporte plusieurs leçons pratiques pour les développeurs et les organisations qui utilisent des outils de codage basés sur l'IA :

• Aucun outil n'est au-dessus de tout soupçon : La découverte qu'un assistant de codage IA de confiance peut intégrer silencieusement des marqueurs de suivi dans les invites système devrait inciter à revoir la confiance dans la chaîne d'approvisionnement logicielle. Les outils open source et ceux dont les binaires sont vérifiables offrent plus de transparence.
• Les méthodes stéganographiques sont une menace réelle : L'utilisation de permutations Unicode quasi invisibles pour encoder des données d'empreinte sans altérer la sortie visible est une technique que d'autres outils pourraient adopter. Les développeurs doivent être conscients de cette surface d'attaque.
• Les conditions d'utilisation ne sont pas une garantie de confidentialité : La défense d'Anthropic — selon laquelle les utilisateurs non autorisés ne devraient pas avoir accès — ne répond pas à l'absence de transparence envers les clients légitimes et payants en dehors de la Chine. La confiance exige de la transparence.
• Les tensions géopolitiques affectent la confiance dans les logiciels : La rivalité entre les États-Unis et la Chine en matière d'IA façonne désormais directement l'évaluation de la fiabilité des outils de développement commerciaux, les interdictions d'entreprises et les avertissements gouvernementaux devenant une nouvelle norme.

Le propre programme de divulgation responsable d'Anthropic reconnaît les vulnérabilités de Claude Code et de son architecture de confinement . L'entreprise a depuis corrigé le code stéganographique, mais l'incident reste la plus grave violation de confiance dans les outils d'IA destinés aux développeurs à ce jour .