Une plateforme de cybersécurité opérée par le ministère chinois de l'Industrie a averti mercredi avoir identifié un risque sérieux de « porte dérobée » (backdoor) dans Claude Code, l'outil de codage par intelligence artificielle d'Anthropic.
Dans un communiqué publié sur son compte WeChat, la Base de données nationale sur les vulnérabilités (CNNVD) a déclaré que Claude Code contient un mécanisme de surveillance intégré capable de transmettre des informations sensibles, notamment la localisation géographique des utilisateurs et des identifiants personnels, vers des serveurs distants sans le consentement des usagers.
L'avertissement concerne les versions 2.1.91 à 2.1.196 de Claude Code.
La CNNVD a conseillé aux organisations et aux particuliers d'examiner immédiatement les systèmes concernés et de désinstaller les versions impactées ou de passer à la dernière version sécurisée, dans laquelle le code incriminé aurait été supprimé.
Elle a également exhorté les entreprises à durcir les contrôles sur les accès aux réseaux externes pour les outils de développement et à renforcer la surveillance du trafic sur les réseaux critiques afin d'empêcher le transfert non autorisé de données sensibles.
Le géant chinois Alibaba a interdit à ses employés d'utiliser Claude Code au travail après que l'outil a fait l'objet d'un examen minutieux pour des fonctionnalités permettant d'identifier les utilisateurs liés à la Chine, a rapporté Reuters la semaine dernière.
Anthropic a déclaré que ce qui était décrit comme une « porte dérobée » était en réalité un mécanisme expérimental de lutte contre les abus, précisant par ailleurs que l'accès à Claude n'est pas autorisé en Chine.
