La Chine a émis une alerte de sécurité « porte dérobée » formelle concernant l'assistant de codage Claude Code d'Anthropic, la base de données nationale de vulnérabilité du pays avertissant que le mécanisme de surveillance de l'outil peut transférer les données des utilisateurs vers des serveurs distants. Cette décision, rapportée par Reuters, CBS News, CNBC et le Wall Street Journal, fait passer le différend sur Claude Code d'une simple interdiction d'entreprise à un avertissement officiel du gouvernement visant directement les développeurs chinois.
L’alerte marque une avancée significative par rapport à la situation quelques jours plus tôt, lorsque le géant du commerce électronique Alibaba avait interdit à son propre personnel d’utiliser Claude Code pour des problèmes de suivi similaires. Aujourd’hui, Pékin lui-même met en garde les développeurs. Pour les lecteurs qui suivent les derniers développements de l’IA que nous couvrons, le passage d’un mémo d’entreprise privée à un avis de sécurité sanctionné par l’État est l’histoire à surveiller.
Ce que dit l'alerte gouvernementale
Selon The Register, la base de données nationale chinoise sur les vulnérabilités — l'organisme qui répertorie officiellement les failles de sécurité affectant les produits utilisés dans le pays — affirme que Claude Code contient un mécanisme de surveillance capable de transmettre les données des utilisateurs chinois vers des serveurs distants. La base de données a caractérisé la fonctionnalité comme une « porte dérobée », un langage généralement réservé aux voies de surveillance délibérément insérées plutôt qu'à la télémétrie de routine.
Le Wall Street Journal a rapporté que les autorités chinoises affirment avoir trouvé des failles de sécurité spécifiques dans Claude Code, tandis que CBS News et CNBC ont décrit l'avertissement du gouvernement comme signalant une « porte dérobée de sécurité » dans l'outil de codage de l'IA. Le Times of India et Cybernews ont ajouté que l'alerte avertissait explicitement que l'outil pouvait « divulguer vos données ». L'effet pratique, comme le dit The Register, est que la Chine demande aux développeurs d'abandonner Claude Code.
En quoi cela diffère de l'interdiction d'Alibaba
L'alerte du gouvernement s'appuie sur l'interdiction antérieure d'Alibaba, mais elle est sensiblement différente. Le 3 juillet, Reuters et le South China Morning Post ont rapporté qu'Alibaba avait ordonné à ses employés de cesser d'utiliser Claude Code et l'avait classé comme « logiciel à haut risque », après que le démontage d'un développeur ait révélé un code caché qui vérifiait si les utilisateurs étaient connectés à la Chine. Il s'agissait d'une seule entreprise agissant sur la base d'une évaluation de sécurité interne.
L'action de cette semaine est plus large. Une entrée dans la base de données nationale de vulnérabilités est une détermination formelle, soutenue par le gouvernement, selon laquelle un produit présente un risque de sécurité – un risque que les autres institutions, développeurs et équipes d'approvisionnement chinois sont censés prendre au sérieux. Cela étend effectivement la posture de prudence bien au-delà d'Alibaba à l'ensemble de l'écosystème de développeurs chinois, conférant l'imprimatur de l'État aux préoccupations qui n'étaient auparavant que l'apanage d'une entreprise.
La position d'Anthropic et le contexte anti-abus
Anthropic a systématiquement défini ses mécanismes de surveillance comme des mesures anti-abus, et non comme une surveillance. Dans une lettre adressée en juin aux sénateurs américains, la société a affirmé que les opérateurs liés aux laboratoires chinois d'IA géraient des dizaines de milliers de comptes frauduleux pour récolter les produits de Claude dans le cadre d'une campagne de distillation. Dans ce contexte, Anthropic a fait valoir que les contrôles destinés à détecter et bloquer de tels abus sont de nature défensive.
La société a déclaré avoir supprimé le code caché qui avait déclenché la controverse initiale. Cependant, un correctif n’efface pas le problème de perception – en particulier lorsqu’un gouvernement étranger a officiellement catalogué ce comportement comme une porte dérobée. Reuters a noté que l'alerte mettait en lumière la manière dont Anthropic instrumente ses outils et les données transmises par ces instruments.
Les enjeux géopolitiques
Cette escalade s’inscrit dans un schéma familier dans la rivalité entre les États-Unis et la Chine en matière d’IA, où la sécurité et la concurrence commerciale sont de plus en plus mêlées. Les laboratoires américains subissent des pressions pour empêcher que leurs modèles ne soient mis au rebut par des concurrents étrangers, tandis que les autorités chinoises sont devenues plus affirmées en signalant les logiciels étrangers comme un risque pour la sécurité et en orientant les développeurs vers des alternatives nationales.
Une alerte formelle de vulnérabilité donne à Pékin une base défendable et technique pour décourager l’adoption d’un outil de codage américain de premier plan – sans avoir à émettre une interdiction pure et simple. Il s’agit d’une forme de pression plus subtile et sans doute plus durable qu’une interdiction brutale, car elle remodèle le comportement des développeurs par la perception du risque plutôt que par un décret direct.
Cela donne également aux entreprises chinoises d’IA un avantage narratif. Les assistants de codage nationaux peuvent être positionnés non seulement comme des concurrents, mais aussi comme un choix sûr et souverain, exempt des problèmes de transmission de données désormais officiellement attribués à un rival américain.
La suite
L'alerte n'interdit pas, à elle seule, Claude Code en Chine, où l'outil n'a jamais été officiellement vendu et où les utilisateurs y accèdent déjà via des solutions de contournement. Mais cela augmente le coût de son utilisation – en termes de réputation, juridique et opérationnel – et signale que de nouvelles restrictions pourraient suivre si les problèmes signalés ne sont pas résolus à la satisfaction des autorités chinoises.
Anthropic est désormais confronté à un choix : s'engager dans les allégations techniques spécifiques du rapport de vulnérabilité, ou risquer de voir l'étiquette "porte dérobée" collée, quelle que soit l'intention. Quoi qu’il en soit, l’épisode renforce la manière dont un produit conçu à San Francisco peut devenir un point d’éclair à Pékin et la rapidité avec laquelle un conflit d’entreprise peut se transformer en une posture de sécurité nationale.
