Les utilisateurs de l'outil de ligne de commande Claude Code d'Anthropic ont découvert cette semaine que l'agent de codage envoyait leurs adresses e-mail aux sites Web qu'il visitait — nichées dans l'en-tête « User-Agent » des requêtes Web effectuées lors des tâches de recherche. Le bug, documenté dans GitHub issue #107757 le 5 novembre, a rapidement attiré des centaines de milliers de vues et une réponse rapide d'Anthropic, ainsi que des critiques pointues sur la manière dont le correctif a été fourni. Il s'agit du dernier problème de confidentialité pour les agents de codage d'IA, une catégorie que nous surveillons de près dans notre Couverture des outils d'IA.
"Des dizaines d'e-mails frauduleux par jour"
Le journaliste, qui exécute Claude Code version 2.1.318 sur macOS, a écrit qu'il a commencé à recevoir « des dizaines d'e-mails frauduleux par jour » après que l'outil « a divulgué mon e-mail à des tiers arbitraires dans l'en-tête de requête « User-Agent » lors de recherches sur le Web. Il a fait valoir que ce comportement ne devrait pas du tout exister en tant que paramètre d'adhésion ou de désinscription : il ne fait rien pour les services qui n'aiment pas le trafic automatisé, ne préserve pas l'anonymat des utilisateurs et "est une mine d'or pour les escrocs". Un autre intervenant a signalé de manière indépendante un flot soudain de spams bizarres arrivant à une ancienne adresse e-mail généralement silencieuse à peu près au même moment.
Le problème a été marqué par les responsables d'Anthropic avec des étiquettes incluant bug, area:security et area:tools, et a suscité des dizaines de commentaires quelques heures après son dépôt.
Comment la fuite s'est produite
Dans un commentaire sur le sujet, un contributeur d'Anthropic a expliqué le mécanisme et a souligné que personne n'avait délibérément mis en œuvre le partage d'e-mails. Le scénario, tel que décrit : certains sites, Wikipédia parmi eux, publient des politiques demandant aux clients scriptés de s'identifier avec un e-mail de contact dans l'en-tête User-Agent. Lorsqu'un utilisateur demandait à Claude Code de rechercher un sujet sur un tel site, le modèle — tentant de se conformer à cette politique — insérait la propre adresse e-mail de l'utilisateur dans l'en-tête de son appel « curl ».
En d’autres termes, le modèle a essayé d’être un citoyen du Web bien élevé et a divulgué des données privées au cours du processus. "Les modèles peuvent être très imprévisibles", a écrit le contributeur. "C'est pourquoi les contrôles déterministes autour du comportement du modèle sont si importants et pourquoi nous devons résoudre l'alignement."
Le correctif d'Anthropic : un plugin
La réponse d'Anthropic a été expédiée rapidement. Selon le même commentaire, un mod intégré appelé `cc-plugin-privacy` a été introduit dans la version 2.1.317 et ultérieure pour « bloquer ce comportement de manière déterministe ». Le mod est activé par défaut et peut être désactivé via la commande `/plugins`, et sa source a été mise à disposition aux côtés des autres mods intégrés d'Anthropic dans le référentiel Claude Code. L'entreprise a demandé aux utilisateurs de signaler immédiatement toute lacune dans les contrôles.
Le correctif a immédiatement suscité deux lignes de critiques. Tout d'abord, certains utilisateurs ont remis en question le mécanisme de livraison lui-même : « La confidentialité ne devrait pas être un plugin. Elle devrait être un invariant », a écrit un intervenant, demandant ce qui allait suivre : « cc-plugin-dont-leak-my-API-key ? Deuxièmement, et plus fondamentalement, les commentateurs ont demandé pourquoi le modèle a accès à l'adresse e-mail de l'utilisateur. Si l'adresse n'est jamais placée dans le contexte de l'agent, aucun mauvais comportement du modèle ne peut la divulguer. Comme l’a dit un utilisateur, le plugin ressemble à un pansement pour une décision de conception qui pourrait être entièrement supprimée.
Des frictions ont également été signalées lors du déploiement : un utilisateur exécutant la version 2.1.318 a déclaré qu'il n'avait pas trouvé "cc-plugin-privacy" répertorié dans son menu "/plugins", ce qui suggère que le correctif n'avait pas atteint toutes les installations pour lesquelles il était destiné. Un autre intervenant a noté qu'un rapport similaire sur le comportement de l'agent utilisateur avait été déposé dans le référentiel dès juillet et a critiqué le projet pour n'agir qu'une fois qu'un problème devient viral.
Vue d'ensemble de la sécurité des agents
L'incident arrive à un moment sensible pour Anthropic, qui se prépare à une introduction en bourse largement médiatisée et positionne ses agents pour une utilisation par les entreprises. Cela se situe également au milieu d'un débat plus large sur la conception du harnais d'agent : quel contexte un agent est donné, quels garde-fous déterministes l'entourent et qui est responsable lorsqu'un modèle improvise.
La leçon principale que de nombreux développeurs ont tirée du fil de discussion est architecturale. Les agents de codage modernes agissent avec un degré d'autonomie qui rend les sauvegardes basées sur l'intention – les politiques que le modèle est censé suivre – structurellement peu fiables. Tout ce qui est sensible doit en premier lieu être tenu hors de portée du modèle, avec des contrôles déterministes imposant un comportement que le modèle ne peut pas contourner. La formulation même d'Anthropic concède ce point : les modèles imprévisibles exigent des contrôles déterministes.
Pour les utilisateurs, les conseils pratiques sont simples. Si vous exécutez Claude Code, mettez à jour vers la version 2.1.317 ou ultérieure et confirmez que le mod de confidentialité est actif. Et réfléchissez aux autres contextes que votre agent possède (informations d'identification, coordonnées, noms d'hôte internes) qu'un modèle bien intentionné pourrait un jour décider de partager avec un inconnu.
Gardez une longueur d'avance sur l'IA
Les outils d’IA sont expédiés plus rapidement que leurs évaluations de sécurité ne peuvent suivre. Suivez chaque développement dans notre Couverture de l'actualité sur l'IA.
Lire plus d'actualités sur l'IA →
