Le MIIT avertit que Claude Code contient une porte dérobée dans 106 versions

Le MIIT chinois a averti mercredi que le Claude Code d'Anthropic contient un mécanisme de surveillance qui transmet les données de localisation et d'identité des utilisateurs vers des serveurs distants sans consentement, affectant 106 versions de la 2.1.91 à la 2.1.196.

La plateforme nationale de base de données sur les vulnérabilités (NVDB), opérée par le ministère de l'Industrie et des Technologies de l'Information, a indiqué que la fonction de surveillance intégrée de cet outil de programmation IA s'active sans autorisation explicite de l'utilisateur, envoyant des informations sensibles, notamment la localisation géographique et les marqueurs d'identité, vers des serveurs distants. L'agence a recommandé aux organisations de désinstaller immédiatement les versions concernées ou de mettre à niveau vers la version sécurisée la plus récente, et de renforcer les contrôles des connexions sortantes ainsi que la surveillance du trafic sur les segments réseau métier critiques.

L'avertissement couvre 106 versions de Claude Code, un outil de développement IA basé à San Francisco (Anthropic) qui écrit, débogue et refactore du code de manière autonome à partir d'invites en langage naturel. L'avis du NVDB a classé la vulnérabilité comme « sévère », citant la transmission non autorisée de données comme une violation directe du cadre de cybersécurité chinois. Les organisations concernées incluent des entreprises et des agences gouvernementales ayant intégré Claude Code dans leurs pipelines de développement depuis son lancement.

Cette directive représente l'une des actions réglementaires les plus agressives de la Chine contre un outil de développement IA étranger et pourrait redéfinir la manière dont Pékin traite les logiciels de codage IA provenant d'entreprises américaines. Anthropic, qui a positionné Claude Code comme un produit phare pour les entreprises, en concurrence avec GitHub Copilot et Cursor, fait désormais face à une interdiction potentielle ou à des restrictions sévères sur le marché chinois du développement logiciel — qui compte plus de 7 millions de développeurs, selon les données de Statista. L'avertissement soulève également des risques de conformité plus larges pour les entreprises américaines d'IA opérant en Chine, où les lois sur la localisation des données exigent que les informations des utilisateurs restent à l'intérieur des frontières du pays.

Cet incident s'inscrit dans un schéma d'intensification de la surveillance chinoise des outils d'IA étrangers. En 2023, le MIIT a ordonné des examens des services de type ChatGPT provenant de fournisseurs américains, bloquant de fait leur disponibilité directe en Chine. L'avertissement concernant Claude Code va plus loin en ciblant un outil de développement intégré aux flux de travail des entreprises, signalant que Pékin étend son périmètre réglementaire au-delà des produits d'IA destinés aux consommateurs, pour inclure la chaîne d'approvisionnement logicielle elle-même.

Pour Anthropic, le timing aggrave une réputation déjà endommagée. Le rapport MSN publié mercredi a détaillé comment Anthropic suivait secrètement les utilisateurs chinois de Claude Code avant même l'avertissement du MIIT, suggérant que l'entreprise était consciente du problème de transmission des données. Anthropic n'a pas immédiatement répondu aux demandes de commentaires. Le cycle de vente aux entreprises de la société, déjà confronté à des vents contraires de la part de modèles open source concurrents comme CodeGen de DeepSeek et Qwen-Coder d'Alibaba, se heurte désormais à une barrière réglementaire dans la deuxième économie mondiale.

L'implication plus large pour le marché des outils de codage IA est significative. Les dépenses mondiales en outils de développement basés sur l'IA devraient atteindre 3,2 milliards de dollars d'ici 2027, selon Gartner, la Chine représentant environ 15 % de ce total. Si d'autres régulateurs suivent l'exemple de Pékin avec des examens similaires de la souveraineté des données, les entreprises américaines de codage IA pourraient faire face à des exigences de conformité fragmentées dans plusieurs juridictions, augmentant les coûts et ralentissant l'adoption.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil en investissement.