Le secteur de l’intelligence artificielle est en ébullition. En effet, l’entreprise Anthropic a confirmé un incident majeur ce 1er avril 2026. Une erreur humaine de packaging a entraîné la divulgation publique du code source de son assistant, Claude Code. Bien que l’entreprise rassure sur la sécurité des données clients, l’ampleur de cette fuite reste préoccupante.
Les détails techniques d’une bévue majeure
La version 2.1.88 du package npm Claude Code contenait par inadvertance un fichier de mappage des sources. Ce fichier permet de reconstruire le code original à partir de fichiers compressés.
Cette erreur a exposé les éléments suivants :
- Près de 2 000 fichiers TypeScript ont été rendus publics.
- Plus de 512 000 lignes de code sont désormais accessibles.
- Un dépôt GitHub miroir a déjà dépassé les 84 000 étoiles, ce qui rend la suppression du code impossible.
Révélations : Les secrets de fabrication d’Anthropic
L’analyse du code révèle des fonctionnalités innovantes qui offrent un avantage aux concurrents. Par exemple, une architecture de mémoire auto-réparatrice permet de contourner les limites de la fenêtre de contexte.
De plus, l’outil intègre l’agent persistant KAIROS. Ce dernier peut corriger des erreurs de manière autonome en arrière-plan. Enfin, un mécanisme de protection injecte de fausses définitions d’outils dans les requêtes API. Ce système vise à corrompre les données des concurrents qui tenteraient de copier les performances de Claude.
Risques immédiats et cyberattaques en cours
L’exposition du fonctionnement interne de l’IA facilite les exploitations malveillantes. La société de sécurité Straiker prévient que des attaquants peuvent désormais concevoir des charges utiles persistantes.
Des campagnes de piratage exploitent déjà cette situation :
- Confusion de dépendances : Un utilisateur nommé « paciter136 » a publié des paquets infectés sur npm en utilisant des noms internes révélés par la fuite.
- Cheval de Troie via Axios : Les utilisateurs ayant installé Claude Code le 31 mars 2026 ont pu récupérer une version contenant un outil d’accès à distance (RAT).
Recommandations de sécurité pour les développeurs
Si vous utilisez cet outil, vous devez agir rapidement. D’abord, revenez immédiatement à une version antérieure certifiée sûre. Ensuite, renouvelez l’ensemble de vos identifiants et clés API. Enfin, auditez vos dépendances npm pour détecter tout paquet suspect.
Cet incident rappelle que même les géants de l’IA subissent parfois des erreurs humaines dévastatrices.
