Faille Claude Tag : quand un simple @Claude suffit à pirater votre assistant IA

La vulnérabilité : @Claude peut être usurpé

Le 14 juillet 2026, la société de cybersécurité Tego AI a publié des recherches identifiant une faiblesse de sécurité critique dans Claude Tag, l'intégration native d'Anthropic avec Slack . Les chercheurs de Tego AI ont observé que Claude Tag répond à tout message Slack contenant le texte littéral @Claude — même lorsque ce message n'était pas réellement adressé à l'agent par une mention structurelle Slack légitime .

Un attaquant ayant accès à un canal Slack peut injecter @Claude dans un message provenant de bots, de webhooks ou de flux automatisés, ce qui amène l'agent à lire le message, à interpréter son contexte et potentiellement à exécuter des actions non autorisées dans l'entreprise, comme la lecture de données sensibles, le déclenchement d'appels d'outils ou l'interaction avec des systèmes connectés .

En résumé : le mécanisme de déclenchement peut être usurpé, transformant une fonctionnalité de collaboration légitime en une surface d'attaque par injection où tout message contenant la chaîne de déclenchement peut détourner l'attention et les capacités de l'agent.

Comment Claude Tag fonctionne comme un collègue IA « toujours actif »

Anthropic a lancé Claude Tag le 23 juin 2026, en remplacement direct de l'ancienne intégration « Claude dans Slack » (retirée le 3 août 2026) . Il ne s'agit pas d'un chatbot par utilisateur. Claude Tag est un participant persistant et partagé dans un canal Slack, avec sa propre identité, sa mémoire et ses accès aux outils. Tout membre autorisé du canal peut taguer @Claude pour lui confier des tâches, et l'IA travaille de manière asynchrone .

Il fonctionne en mode « ambiant », suivant en permanence les conversations, apprenant le contexte du canal et intervenant de manière proactive pour signaler des mises à jour ou des tâches . Ses autorisations sont limitées au canal dans lequel il se trouve, et non à un utilisateur individuel, ce qui permet aux administrateurs de configurer différents ensembles d'outils, accès aux données et limites de dépenses pour chaque canal .

En arrière-plan, chaque session Claude Tag s'exécute sur le modèle Opus 4.8 dans une microVM Linux gérée par Anthropic, avec des identifiants de connecteur stockés en dehors de la VM, un accès réseau via proxy et des outils en lecture seule pour l'isolation . L'utilisation du canal est facturée à l'organisation aux tarifs API, et non par siège, ce qui inverse les modèles de tarification traditionnels des logiciels d'entreprise .

Implications plus larges pour la sécurité des agents d'IA en entreprise

La découverte de Tego AI n'est pas isolée. Elle s'ajoute à deux autres incidents majeurs de la mi-2026 qui révèlent ensemble une crise de la sécurité des agents d'IA en entreprise.

Le mécanisme de pistage caché de Claude Code

Le 30 juin 2026, le chercheur indépendant « Thereallo » a fait de la rétro-ingénierie sur Claude Code et a découvert du JavaScript obfusqué qui identifiait silencieusement la localisation géographique des utilisateurs (via des vérifications de fuseau horaire) et modifiait les invites système à l'aide de caractères Unicode d'apparence similaire — un apostrophe courbe au lieu d'un droit, une barre oblique au lieu d'un tiret — pour créer une marque de pistage furtive détectable par le backend d'Anthropic . La base de données nationale chinoise des vulnérabilités (NVDB) a émis une alerte de sécurité formelle de type « backdoor » le 8 juillet, couvrant les versions 2.1.91 à 2.1.196 de Claude Code . Alibaba a interdit Claude Code en interne peu de temps après . Anthropic a qualifié cela d'« expérience anti-abus » et l'a supprimé le 1er juillet .

Vulnérabilités systémiques du protocole MCP

L'infrastructure du Model Context Protocol (MCP), qui sous-tend Claude Tag et de nombreux autres agents d'IA, s'avère contenir des défauts de conception systémiques. Principales conclusions de 2026 :

• Une faille dans l'implémentation de référence du MCP qui exécute des commandes système sans assainissement a exposé environ 200 000 instances MCP vulnérables dans une chaîne d'approvisionnement de plus de 150 millions de téléchargements de paquets .
• Un scan de 560 serveurs MCP a révélé que 38 % n'avaient aucune authentification, 43 % des CVE impliquent exec() ou injection de shell, et 13 % impliquent un traversée de chemin .
• De nouvelles classes de vulnérabilité ont émergé, notamment les « vulnérabilités basées sur l'hallucination » (HBV), où des descriptions d'outils vagues amènent le LLM à s'octroyer trop de privilèges ou à entreprendre des actions non intentionnées .
• L'empoisonnement d'outils, les attaques de type Rug Pull et le Shadowing entre serveurs ont tous été démontrés dans l'écosystème MCP, y compris une preuve de concept où l'IDE Cursor a été entièrement compromis via MCP .

Ce que cela signifie pour les entreprises

Les entreprises qui déploient Claude Tag et des outils d'IA agentiques similaires font face à une triple menace : surfaces d'attaque par injection de prompt dans la couche de déclenchement de l'agent (découverte de Tego AI), pistage opaque côté fournisseur dans les outils d'IA (traqueur Claude Code), et des défauts d'infrastructure fondamentalement non sécurisés dans l'écosystème MCP qui connecte les agents aux outils et aux données.

Les défaillances en matière d'identité et de contrôle d'accès se propagent rapidement lorsqu'un agent persistant comme Claude Tag dispose d'un large accès aux outils et peut être déclenché par des mentions usurpées . La gouvernance API traditionnelle est insuffisante pour les flux de travail agentiques, car les agents ne suivent pas les modèles d'autorisation par utilisateur ni les schémas requête-réponse . Le risque lié à la chaîne d'approvisionnement est énorme : une vulnérabilité dans l'implémentation de référence du MCP se propage à chaque déploiement en aval . La transparence et l'auditabilité restent des problèmes critiques — le traqueur de Claude Code était obfusqué dans du JavaScript minifié et n'a été découvert que par une rétro-ingénierie externe, ce qui signifie que les équipes de sécurité des entreprises ne peuvent pas compter sur l'auto-divulgation des fournisseurs .

L'escalade réglementaire est déjà en cours, la NVDB chinoise ayant émis des alertes au niveau de l'État et des entreprises comme Alibaba ayant imposé des interdictions pures et simples . Le tableau d'ensemble est que la sécurité des agents d'IA en entreprise en 2026 nécessite une approche fondamentalement nouvelle — une approche qui traite les agents persistants comme une infrastructure critique avec des contrôles rigoureux en matière d'identité, d'accès et de chaîne d'approvisionnement.

Points clés à retenir

• Déclencheur usurpable : Claude Tag répond au texte littéral @Claude même provenant de sources automatisées, permettant des attaques par injection de prompt .
• Architecture toujours active : Claude Tag est un collègue IA persistant et limité à un canal, fonctionnant sur Opus 4.8 dans une microVM, avec une facturation aux tarifs API .
• Triple menace : La vulnérabilité de Tego s'ajoute au traqueur caché de Claude Code et aux failles systémiques de l'infrastructure MCP pour créer un paysage de risques sévère pour les entreprises .
• Contrôles proactifs nécessaires : Limiter l'accès par canal, auditer les actions des agents, passer à la spécification MCP 2026 et effectuer des examens de sécurité réguliers .