Claude Code espionnait-il ses utilisateurs chinois ? Révélations sur le code caché d'Anthropic et une semaine de crises

Le 30 juin 2026, le développeur et chercheur AdnaneKhan a publié une analyse vérifiée démontrant qu'Anthropic avait intégré un code de « fingerprinting » stéganographique caché dans Claude Code, identifiant silencieusement les utilisateurs liés à la Chine . La découverte a provoqué une onde de choc — le message initial sur X de @IntCyberDigest a généré plus d'1,5 million de vues en 24 heures — et a contraint Anthropic à reconnaître et à retirer la fonctionnalité, qu'elle a qualifiée d'« expérience anti-abus ». Mais le scandale du code caché n'est qu'une pièce d'un conflit extraordinaire à trois fronts entre Anthropic et la Chine, qui a éclaté en une seule semaine de juin 2026, impliquant également une accusation majeure de distillation contre Alibaba et l'interdiction puis la levée de l'interdiction par le gouvernement américain des modèles d'IA les plus puissants d'Anthropic.

Voici ce qui s'est passé, comment le code caché fonctionnait, et pourquoi ces trois événements sont liés.

Le code caché dans Claude Code : ce qu'il faisait et comment il fonctionnait

Le mécanisme caché a été introduit à partir de la version 2.1.91 (sortie le 2 avril 2026). Une fuite accidentelle antérieure du code source dans la version 2.1.88 (31 mars 2026) — un fichier de débogage .map inclus exposant environ 512 000 lignes de TypeScript — avait d'abord révélé des indicateurs de compilation comme ANTI_DISTILLATION_CC suggérant l'existence d'un tel système . La controverse publique a éclaté le 30 juin 2026, lorsque l'analyse a été publiée et vérifiée de manière indépendante .

Le mécanisme effectuait trois étapes entièrement du côté client, sans aucune notification à l'utilisateur :

1. Sondage de l'environnement. Claude Code vérifiait la variable d'environnement ANTHROPIC_BASE_URL. Si elle pointait vers un point d'accès non officiel — par exemple, un relais API tiers ou un proxy de « station de transfert chinoise » — le code comparait le point d'accès à une liste codée en dur et obscurcie de 147 noms de domaines d'entreprises technologiques chinoises : Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun, et d'autres . La liste de domaines était déguisée à l'aide d'un encodage Base64 et d'une obfuscation XOR avec la clé 91, ce qui la rendait difficile à trouver avec les outils de recherche de chaînes de caractères ordinaires .

2. Encodage dans l'invite système. Une fois un proxy lié à la Chine identifié, le code modifiait silencieusement l'invite système envoyée aux serveurs d'Anthropic à chaque requête suivante. Il modifiait une ligne banale et unique — « Today's date is 2026-06-30. » — par des substitutions subtiles de caractères et des changements de format de date pour coder le fuseau horaire, la route proxy et la probable affiliation au laboratoire d'IA de l'utilisateur . Il s'agit d'une méthode stéganographique : elle cache des données à la vue de tous afin que le modèle (et les serveurs d'Anthropic) puisse les lire mais que l'utilisateur ne le puisse pas.

3. Invisible pour l'utilisateur. L'ensemble du processus s'est déroulé sans aucune indication dans l'interface utilisateur, sans journalisation visible pour l'utilisateur final et sans divulgation dans les notes de version ou la documentation . Plusieurs analystes indépendants ont confirmé la réalité du mécanisme, le décrivant comme un « canal caché » à l'intérieur de l'invite système . L'indicateur plus large ANTI_DISTILLATION_CC, visible dans la fuite de code source antérieure, ordonnait à l'API d'Anthropic d'injecter silencieusement des filigranes anti-distillation dans les réponses, suggérant qu'il s'agissait d'un cadre anti-abus plus large .

La réponse d'Anthropic : une « expérience anti-abus »

Après le début de la controverse, Anthropic a reconnu la fonctionnalité et a commencé à la retirer . L'entreprise l'a qualifiée d'« expérience anti-abus » visant à lutter contre les proxies API généralisés du marché gris — connus dans la communauté des développeurs chinois sous le nom de « Zhongzuanzhan » ou « stations de transfert chinoises » — qui permettent aux développeurs chinois d'accéder à Claude pour environ 10 % du prix officiel via des relais non autorisés . Anthropic a déclaré que l'objectif était de détecter et de bloquer la distillation et les accès non autorisés, et non d'espionner les utilisateurs. Les critiques, cependant, ont qualifié ce code de « code de type logiciel espion » et ont soulevé des préoccupations majeures concernant la vie privée, la transparence et l'éthique du « fingerprinting » furtif des utilisateurs .

Pourquoi Anthropic l'a construit : l'accusation de distillation contre Alibaba

Une semaine seulement avant que la fuite de Claude Code ne soit rendue publique, Anthropic a envoyé une lettre au Congrès américain alléguant qu'Alibaba et son laboratoire d'IA Qwen avaient mené la plus grande attaque de « distillation » connue contre Claude. Selon la lettre, examinée par de nombreux médias, des opérateurs affiliés à Alibaba auraient utilisé environ 25 000 comptes frauduleux pour effectuer environ 28,8 millions d'interactions avec Claude du 22 avril au 5 juin 2026, extrayant systématiquement les capacités du modèle pour entraîner leurs propres modèles rivaux . Anthropic a décrit cette campagne comme « éhontée » et « illicite » . Cette accusation explique directement pourquoi Anthropic a construit le « fingerprinting » stéganographique — il s'agissait d'une mesure défensive contre le type même d'extraction massive qu'elle accusait simultanément Alibaba de mener.

Ce n'était pas la première accusation de distillation chinoise par Anthropic. En février 2026, Anthropic avait accusé DeepSeek, Moonshot AI et MiniMax d'avoir mis en place plus de 24 000 faux comptes et généré plus de 16 millions d'échanges avec Claude . L'accusation contre Alibaba était la plus importante à ce jour.

Les contrôles à l'exportation américains sur Fable 5 et Mythos 5 — puis levés

Le 12 juin 2026, le département du Commerce américain, en vertu des Export Administration Regulations (EAR), a ordonné à Anthropic de désactiver immédiatement ses deux modèles les plus avancés — Claude Fable 5 et Claude Mythos 5 — lancés seulement trois jours plus tôt. Le gouvernement a invoqué des préoccupations de sécurité nationale liées à un prétendu « jailbreak » . Anthropic s'est conformé, suspendant les deux modèles dans le monde entier car elle ne pouvait pas distinguer de manière fiable les ressortissants étrangers des utilisateurs nationaux en temps réel .

Puis, le 30 juin 2026 — le même jour où la controverse sur Claude Code a éclaté — l'administration Trump a levé les contrôles à l'exportation, et Anthropic a commencé à restaurer Fable 5 et Mythos 5 .

Le tableau d'ensemble

Ces événements forment un schéma cohérant sur une seule semaine extraordinaire :

• Anthropic luttait contre un écosystème de proxies API du marché gris en Chine, où les développeurs accédaient à Claude pour environ 10 % du prix officiel via des « stations de transfert chinoises » . Elle avait également divulgué précédemment une campagne de cyber-espionnage parrainée par l'État chinois utilisant Claude Code en septembre 2025, qu'elle avait déjouée en novembre 2025 .
• Elle a construit le « fingerprinting » stéganographique dans Claude Code v2.1.91 en tant que contre-mesure anti-distillation furtive, encodant les informations des utilisateurs dans les invites système pour détecter et bloquer les accès non autorisés .
• Elle a publiquement accusé Alibaba de la plus grande attaque de distillation de modèles connue contre elle (24-25 juin) .
• Le gouvernement américain a d'abord interdit, puis levé l'interdiction des modèles les plus puissants d'Anthropic (12-30 juin), créant une fenêtre où les modèles premium d'Anthropic étaient indisponibles au moment même où elle combattait l'extraction chinoise de ses modèles de génération actuelle .
• La découverte du code caché (30 juin) et la levée des contrôles à l'exportation (30 juin) ont coïncidé, produisant un cycle d'actualités unique où Anthropic était simultanément accusée d'espionnage, accusait Alibaba de vol et voyait ses meilleurs modèles débloqués.

Le PDG d'Anthropic, Dario Amodei, a à plusieurs reprises qualifié l'accès chinois aux modèles d'IA américains de pointe de menace existentielle pour la sécurité nationale américaine , et la controverse sur le code caché suggère que l'entreprise est prête à aller à des longueurs extraordinaires — secrètement et sans le consentement de l'utilisateur — pour s'en défendre.