Claude Code : backdoor MIIT NVDB, versions affectées et guide de sécurité

Êtes-vous concerné ? Commencez par vérifier votre version

Le mécanisme dissimulé ne s'active pas pour tous les utilisateurs. Il ne se déclenche que lorsque la variable d'environnement ANTHROPIC_BASE_URL pointe vers un endpoint non officiel (passerelle d'entreprise, proxy tiers, revendeur d'API).

1. 01

   Risque des endpoints proxy : les équipes routant Claude via une passerelle interne voyaient le nom d'hôte comparé à une liste noire de 147 entrées obfusquées par XOR. Alibaba, Baidu, ByteDance, DeepSeek, Moonshot, Zhipu, MiniMax et des revendeurs connus y figuraient.

2. 02

   Environ trois mois sans divulgation : d'avril à juin, une vingtaine de versions ont été publiées sans aucune mention dans les changelogs. C'est le cœur de la rupture de confiance.

3. 03

   Outil à privilèges élevés : Claude Code dispose d'accès lecture/écriture au système de fichiers et d'exécution shell. Un comportement dissimulé dans un tel outil dépasse la simple télémétrie.

Stéganographie Claude Code : fonctionnement en trois étapes

La communauté technique parle de stéganographie car il n'existait pas de canal de rapport séparé : l'outil manipulait le prompt système lui-même. Le chercheur Adnane Khan l'a qualifié de « canal d'information dissimulé intégré au prompt système ».

1. 01

   Déclencheur : ANTHROPIC_BASE_URL est configuré vers un endpoint non officiel.

2. 02

   Reconnaissance d'environnement : vérification du fuseau horaire (Asia/Shanghai ou Asia/Urumqi) et comparaison du nom d'hôte proxy à une liste noire de 147 entrées obfusquées XOR(key=91) + Base64.

3. 03

   Encodage dissimulé : en cas de fuseau chinois, le séparateur de date passe de 2026-06-30 à 2026/06/30. L'apostrophe de Today's date is est remplacée par des variantes Unicode (U+0027, U+2019, U+02BC) visuellement indiscernables, encodant trois drapeaux booléens. Environ 3 bits de données d'environnement sont cachés dans une phrase anglaise banale, transmis à chaque requête.

claude --version
echo $ANTHROPIC_BASE_URL
npm install -g @anthropic-ai/claude-code@latest
claude update

Interdiction Alibaba, guerre de la distillation et actions immédiates

Impact entreprise : interdiction Alibaba de Claude Code

Selon SCMP et Ars Technica, Alibaba a ajouté Claude Code à sa liste de logiciels à haut risque après la découverte des risques de backdoor. À partir du 10 juillet 2026, interdiction de Claude Code et de l'ensemble des produits modèles Anthropic ; orientation des employés vers Qoder.

Contexte : le conflit Anthropic vs Alibaba sur la distillation

Anthropic a témoigné devant le comité bancaire du Sénat américain que l'équipe Qwen d'Alibaba aurait généré environ 28,8 millions d'interactions via quelque 25 000 comptes frauduleux pour distiller les capacités de Claude. En février 2026, une publication de l'université de Pékin et de l'Académie des sciences de Chine signalait des traces de distillation de modèles étrangers dans les principaux modèles chinois. Claude Opus 4.8 s'est parfois identifié comme Qwen/DeepSeek lors de tests — contexte dans lequel la détection d'empreinte des utilisateurs chinois devient particulièrement sensible. C'est le cadre plus large dans lequel Anthropic a construit cette détection dissimulée.

Runbook de sécurité en six étapes

1. 01

   Vérifier la version : claude --version — si 2.1.91–2.1.196, agir immédiatement.

2. 02

   Vérifier le proxy : echo $ANTHROPIC_BASE_URL — un endpoint non officiel est la condition de déclenchement.

3. 03

   Mettre à jour : npm install -g @anthropic-ai/claude-code@latest ou claude update pour obtenir la version 2.1.197 ou supérieure.

4. 04

   Désinstallation complète (optionnel) : sur macOS/Linux, nettoyer ~/.claude, ~/.claude.json, ~/.cache/claude-code, ~/.config/claude-code.

5. 05

   Audit sortant en entreprise : scanner les endpoints de services IA non autorisés sur les postes de développement et mettre en place un contrôle du trafic sortant conformément aux recommandations NVDB.

6. 06

   Évaluer les alternatives : Qoder, Cursor, Codex CLI ou agents auto-hébergés selon vos exigences de conformité.

• 147 règles obfusquées : la liste noire proxy utilise XOR(91) + Base64 — invisible à strings, nécessite une rétro-ingénierie complète du binaire.
• Environ trois mois sans divulgation : aucun changelog des versions affectées ne mentionnait ce mécanisme.
• 25 000 comptes frauduleux : chiffre cité par Anthropic sur l'abus de distillation Qwen, contexte de la défense « expérience ».

Mélanger Claude Code, navigateur et clés API de production sur un ordinateur portable personnel brouille les frontières de privilèges et complique l'audit sortant. Pour une CI/CD iOS et l'automatisation d'agents IA en production, la location cloud Mac Mini VpsMesh offre un nœud macOS dédié isolé, un contrôle root et une disponibilité 24h/24 — plus fiable que de mélanger bureau personnel et secrets de production. Consultez les tarifs de location Mac Mini M4 et le centre d'aide pour le déploiement.

Conclusion : Anthropic a retiré le code en v2.1.197+. La restauration de la confiance dépend de chaque organisation. Une partie de la communauté technique y voit une ingénierie anti-distillation standard ; régulateurs et entreprises y voient un risque grave de backdoor non divulguée. La mise à jour est impérative ; la poursuite d'utilisation relève de votre politique de conformité.

Avertissement : cet article s'appuie sur les communiqués publics du NVDB, les déclarations d'Anthropic et des recherches de sécurité indépendantes, à titre informatif uniquement. Il ne constitue ni un avis juridique ni une conclusion d'audit de sécurité.