2026 Claude Code stéganographie : comment Anthropic vous marque avec une apostrophe

Fin juin 2026, le rapport de reverse engineering publié sur thereallo.dev révèle que Claude Code — et non l'interface web Claude — modifie, lorsque ANTHROPIC_BASE_URL pointe vers un proxy non officiel, la ligne Today's date is... du prompt système par stéganographie textuelle : séparateur de date et apostrophe Unicode visuellement identiques encodent des signaux de fuseau horaire et de classification proxy, renvoyés au serveur. Anthropic a retiré le code en 2.1.197 (1^er juillet 2026, sans mention au changelog). L'hypothèse dominante : anti-distillation et anti-revente — la controverse porte sur l'obfuscation et l'absence de transparence, souvent confondue avec l'injection silencieuse de Claude Desktop d'avril. Ce guide distingue rigoureusement les événements A et B.

1. Trois enjeux : pourquoi auditer la chaîne Claude dès maintenant

1. Frontière de confiance franchie en silence : Selon The Register et Alexander Hanff, Claude Desktop écrit sans consentement des manifestes Native Messaging dans Chrome, Edge, Brave, Arc, Vivaldi, Opera et Chromium ; Noah Kenney (Digital 520) a confirmé la reproductibilité ; Antiy Labs a publié une analyse de risque dédiée.
2. Signal de classification dissimulé à chaque requête : Les versions 2.1.193, 2.1.195 et 2.1.196 de Claude Code contiennent la même logique ; liste d'environ 147 règles, obfusquée par base64 + XOR(91) ; mots-clés incluant deepseek, moonshot, zhipu, minimax, baichuan, stepfun, 01ai.
3. Divulgation postérieure à la découverte communautaire : Anthropic a reconnu le code et publié 2.1.197 le 1^er juillet sans changelog ; le fil HN a atteint 350+ points et 100+ commentaires, scindant la communauté entre « défense anti-distillation légitime » et « comportement quasi malveillant pour un outil développeur ».

2. Deux événements distincts : tableau A vs B

Les lecteurs techniques (HN, Reddit, communauté sécurité) exigent une précision factuelle. Le tableau ci-dessous sépare deux incidents indépendants mais liés — les confondre nuit à la crédibilité E-E-A-T.

3. Chronologie et numéros de version

4. Mécanisme : table Unicode et explication claire

Prérequis selon le rapport : ANTHROPIC_BASE_URL pointe vers une adresse non officielle (proxy, passerelle, revendeur tiers, couche compatible OpenAI). Le point de terminaison officiel api.anthropic.com n'est pas modifié.

Après déclenchement, deux opérations dans la ligne anodine Today's date is ... :

1. Séparateur de date : si le fuseau système est Asia/Shanghai ou Asia/Urumqi, 2026-06-30 devient 2026/06/30.
2. Substitution d'apostrophe : le caractère dans Today's est remplacé par des variantes Unicode visuellement identiques :

En substance : la requête paraît être un prompt anglais ordinaire, mais le backend lit le séparateur et le codepoint de l'apostrophe pour classifier l'utilisateur — un canal dissimulé (covert channel) classique. Liste domaines/mots-clés : base64 + XOR(91), environ 147 règles.

5. Motivation d'Anthropic : anti-distillation et débat HN

Le consensus communautaire, formulé avec prudence : objectif anti-distillation et anti-revente non autorisée. Anthropic, OpenAI et Google ont exprimé à plusieurs reprises des craintes sur l'extraction massive via API pour entraîner des modèles compacts. Proxies, revendeurs et laboratoires liés à la Chine étaient suspectés — d'où la logique de marquage.

Objectif compréhensible, moyens contestables : dissimuler des signaux de classification, obfusquer le code et les intégrer à chaque requête franchit une ligne rouge pour un outil fondé sur la confiance des développeurs. Sur HN, deux camps :

• Défenseurs : « Défense anti-distillation légitime ; la contrainte technique de l'abus API est nécessaire. »
• Critiques : « Quasi malveillant pour un outil dev — non déclaré, non désactivable, caché dans la ponctuation. »

Interprétation dominante : Anthropic visait la revente non autorisée et la distillation, non la surveillance individuelle ; la controverse porte sur les moyens (dissimulation, obfuscation, absence de divulgation). Formulations « selon le rapport » / « présumé » pour les intentions.

6. Logiciel espion ou non : qualification précise

« Spyware » est un label chargé. Formulation plus exacte :

• Événement A : « Modification non autorisée de logiciels tiers + surface d'attaque préparée » — même sans exploitation active, un canal à privilèges élevés hors sandbox navigateur est préinstallé. Anthropic a cité pour Claude for Chrome des taux de succès d'injection de prompt sans atténuation à 23,6 %, avec atténuation 11,2 %.
• Événement B : « Télémétrie dissimulée non déclarée / classification utilisateur » — pas un malware classique de type keylogger, mais un covert channel textbook.

Quel que soit le terme, la question centrale demeure : sans consentement éclairé et avec dissimulation délibérée.

7. Matrice décisionnelle : risques et scénarios

8. Checklist de protection en cinq étapes

1. Vérifier ANTHROPIC_BASE_URL : exécuter echo $ANTHROPIC_BASE_URL. Vide ou api.anthropic.com → événement B non déclenché ; proxy → groupe à haut risque.
2. Mettre Claude Code à 2.1.197+ : Anthropic a retiré la stéganographie le 1^er juillet 2026. Confirmer avec claude --version.
3. Scanner les manifestes Native Messaging (événement A) :

   find ~/Library/Application\ Support -name "com.anthropic.claude_browser_extension.json" 2>/dev/null

   Chemins courants : ~/Library/Application Support/Google/Chrome/NativeMessagingHosts/ et variantes Chromium. Claude Desktop peut recréer le fichier après suppression.
4. Fuseau horaire et domaine proxy : systemsetup -gettimezone (macOS) ; vérifier Asia/Shanghai ou Asia/Urumqi ; confronter le domaine proxy aux 147 règles du rapport.
5. Isolation environnement sensible : séparer Claude Code des secrets de build et dépôts production ; interdire l'agent Desktop sur le runner CI ; exiger consentement explicite et journaux auditables.

9. Dépassements des éditeurs d'IA : comment réagir

L'avertissement ne réside pas dans une apostrophe, mais dans le décalage entre capacités des modèles et frontières de sécurité, consentement et audit — les éditeurs franchissent des limites au nom de l'« expérience » ou de la « lutte contre les abus ». L'histoire des PC et smartphones se répète avec les agents IA de bureau.

Réponses concrètes pour les praticiens :

1. Méfiance par défaut, preuves d'abord : reproductible, auditable, désactivable — alors seulement confiance.
2. Transparence plutôt que dissimulation : l'anti-distillation peut être déclarée avec interrupteur, non dissimulée dans la ponctuation.
3. Moindre privilège et isolation : traiter tout agent Desktop comme programme à privilèges élevés.
4. Vote par les pieds et cadre réglementaire : RGPD et choix de marché comme leviers contre la technologie sans limites.

La technologie peut être neutre ; l'entreprise ne l'est pas. Plus la capacité est grande, plus l'autocontrainte est exigée — ce ne devrait pas être un secret découvert par reverse engineering binaire.

10. Questions fréquentes

Q : Claude Code est-il un logiciel espion ?
Pas au sens classique, mais selon le rapport, empreintes non déclarées et obfusquées dans le prompt système ; retirées en 2.1.197. Plus exact : canal dissimulé non déclaré.

Q : Claude Code détecte-t-il le fuseau horaire ?
Selon le rapport, uniquement avec ANTHROPIC_BASE_URL non officielle : Asia/Shanghai ou Asia/Urumqi, séparateur - → /.

Q : Quel est le truc Unicode de l'apostrophe ?
U+0027, U+2019, U+02BC, U+02B9 encodent domaine, mot-clé laboratoire, les deux ou défaut.

Q : Pourquoi Anthropic a-t-il ajouté cela ?
Consensus : distillation et revente API non autorisée — objectif légitime, mise en œuvre dissimulée inacceptable.

Q : Même chose que le spyware Claude Desktop ?
Non. Injection Desktop = événement A (avril) ; stéganographie Code = événement B (30 juin).

Q : Les utilisateurs web Claude sont-ils touchés ?
Événement B : Claude Code + Base URL non officielle uniquement.

Q : Supprimer l'injection Desktop ?
Retirer com.anthropic.claude_browser_extension.json dans NativeMessagingHosts ; redémarrage peut recréer.

Q : Faut-il encore faire confiance à Anthropic ?
Selon tolérance au risque et exigences de conformité ; décider sur preuves reproductibles, non sur la marque ; entreprise : audit indépendant.

11. Sources et note de conformité

• The Register : Claude Desktop changes software permissions without consent (2026-04)
• Malwarebytes / gHacks / YOOTA : Native Messaging Claude Desktop
• thereallo.dev : Claude Code prompt steganography (reverse engineering original)
• Tech Startups / TMC Insight / Developers Digest / TechTimes : événement B et correctif 2.1.197
• Antiy Labs : analyse risque canal navigateur à privilèges élevés
• Hacker News (350+ points, fin juin 2026)

Article fondé sur sources publiques et rapport de reverse engineering ; motivation (anti-distillation) et moyens (stéganographie) évalués séparément ; intentions Anthropic qualifiées de « selon la communauté / selon le rapport » ; ne constitue pas un avis juridique. Dernière mise à jour : 2026-07-03.

12. Mac distant et pont décisionnel SFTPMAC

Les enjeux Claude Code et Claude Desktop se résument ainsi : où s'exécute l'agent à privilèges élevés, et quelles données partage-t-il ? Sur un portable ou une machine mêlant CI, secrets de build, clés SSH et dépôts production coexistent sous le même utilisateur — surface de risque incontrôlable face à l'injection Native Messaging ou à la classification dissimulée.

Approche plus sûre : isoler Claude Code et les workflows agent sur un nœud macOS dédié, toujours disponible, séparé physiquement du navigateur, du client Desktop et de l'environnement quotidien ; synchroniser l'espace de travail par SFTP/rsync pour conserver rollback et audit. Aligné avec comparatif assistants code IA et Claude Fable 5 et contrôle des exportations.

Si vous évaluez les frontières de confiance de la chaîne Claude : découpler l'agent des actifs sensibles sur un nœud Apple Silicon distant, isolé et auditable. SFTPMAC location Mac distant propose des environnements 7×24 pour Claude Code / OpenClaw : launchd natif, isolation SSH/SFTP, synchronisation CI/CD — plus adapté qu'un « Mac domestique agent + navigateur quotidien » pour les équipes exigeant moindre privilège et traçabilité.