Pourquoi la fuite de Claude est une histoire édifiante

Par Amber Wolff, Gestionnaire de contenu

La sécurité en entreprise est souvent présentée comme une course aux armements entre cybercriminels et professionnels de la cybersécurité. Mais c'est aussi une course de vitesse entre les innovations technologiques majeures et les moyens dont nous disposons pour parer aux nouveaux risques que ces technologies engendrent.

Bill Conner, PDG de Jitterbit, a passé des décennies à diriger des initiatives visant à sécuriser les réseaux d’entreprise à travers le monde, et il a vu ce cycle se répéter à plusieurs reprises au cours de sa carrière. L'une de ses principales priorités à son arrivée chez Jitterbit était de veiller à ce que toutes les solutions de l'entreprise soient conçues en plaçant la sécurité au cœur de leur conception, et à ce que les innovations Jitterbit AI soient plus sûres, plus faciles à gérer, plus transparentes et plus responsables.

Mais comme nous l'avons vu à la suite de la fuite de Claude cette semaine, de nombreuses organisations qui ont adopté une approche de l'IA consistant à “ déployer d'abord et poser des questions ensuite ” commencent à prendre conscience des dangers de traiter la sécurité après coup.

Conner s'est récemment joint à Manoj Chaudhary, directeur technique de Jitterbit, et à Geoff Blaine, directeur du marketing, pour discuter de la fuite et des problèmes plus généraux qu'elle soulève pour la sécurité des entreprises. Vous pouvez regarder la vidéo jTalk complète ci-dessous :

Comprendre la fuite du code source de Claude

Le 31 mars 2026, Anthropic, le développeur du populaire LLM Claude, a publié une mise à jour qui comprenait par erreur une source map JavaScript, un fichier à usage interne. Ce fichier pointait vers une archive située sur le système de gestion de contenu interne de l'entreprise — et en raison d'une mauvaise configuration, au moins un demi-million de lignes de code source propriétaire pour l'assistant de codage propulsé par l'IA, Claude Code, ont été rendues publiquement accessibles.

Contenant ce que le Wall Street Journal a qualifié d“”informations commercialement sensibles", le magot comprenait le code exécuté sur les machines des développeurs d'Anthropic qui détaille le fonctionnement de l'écosystème de codage agentique, y compris des outils et des instructions pour amener leurs modèles d'IA à agir en tant d'agents de codage.

En moins de 24 heures, le lien avait été partagé sur X et vu près de 30 millions de fois. Il a été reproduit d'innombrables fois sur Github et ailleurs, surgissant plus rapidement qu'Anthropic ne pouvait émettre de demandes DMCA pour les supprimer.

Prévoyant cette issue, un développeur s'est attelé à réécrire le code TypeScript, créant une version similaire mais distincte dans le langage de programmation Python dans le but d'éviter des répercussions juridiques.

Ce nouveau dépôt, baptisé “ claw-code ”, est devenu le dépôt à la croissance la plus rapide de l'histoire de GitHub, surpassant facilement le dépôt Claude Code d'origine d'Anthropic. Et il pourrait bien s'installer durableur, car on ne sait pas exactement quels recours Anthropic pourrait avoir.

D’après les déclarations d’Anthropic elle-même, le code 90% de Claude Code est généré par une IA — et les contenus générés par une IA ne bénéficient pas des mêmes protections que ceux créés par des humains. De plus, des sites miroirs ont fait leur apparition partout dans le monde, dans des endroits où il serait bien plus difficile de faire respecter une loi américaine sur le droit d’auteur.

Ce que cela signifie pour les entreprises

Dans 2026 Jitterbit Rapport de référence sur l'automatisation de l'IA, nous avons constaté que plus de la moitié des personnes interrogées utilisaient l'IA pour coder. Pour les entreprises qui déploient du code de production créé par l'IA, les implications en matière de propriété intellectuelle sont évidentes.

Mais les implications pour la sécurité sont encore plus menaçantes.

Bien qu'elle ne soit pas le résultat d'une faille de sécurité en soi, la fuite contribue déjà indirectement à un nombre inconnu de failles dans d'autres entreprises. Selon Zscaler, Les acteurs malveillants peuvent, et le font déjà, propager des versions piégées [du code divulgué] contenant des portes dérobées, des exfiltrateurs de données ou des cryptomineurs. Des utilisateurs sans méfiance clonent des forks “ d'apparence officielle ‘ risque de compromission immédiate.”

L'analyse de ThreatLabz poursuit en indiquant que ces dépôts malveillants apparaissent sur GitHub et se manifestent également dans les résultats de recherche de Google.

Pour empirer les choses, une version réécrite du code de Claude se vante d'avoir supprimé toutes les barrières de sécurité et la télémétrie, ce qui pourrait faciliter l'utilisation des LLM pour concevoir du code malveillant ou trouver des vulnérabilités.

Alors qu'Anthropic s'est empressé d'expliquer que la fuite était le résultat d'une erreur humaine, cela soulève plus de questions que cela n'en résout, à savoir sur les pratiques opérationnelles d'entreprises comme Anthropic dans leur ensemble. Les experts en sécurité n'ont pas tardé à souligner qu'il s'agissait en fait de la deuxième fuite de données d'Anthropic ces dernières semaines, et cela pourrait suggérer des problèmes de sécurité interne plus importants au sein de l'entreprise.

Anthropic a été bâtie sur l'IA constitutionnelle et une extrême prudence, mais comme l'a souligné Manoj Chaudhary, directeur technique de Jitterbit : “ Elle a été piégée par 0,3 mégaoctet de fichier de correspondance de source (source map). ” M. Chaudhary a ajouté que cet incident devrait inciter les entreprises à veiller à élargir leur champ de sécurité à la sécurité globale, telle que la sécurité des opérations, afin d'éviter un résultat similaire.

L'importance d'une sécurité multicouche et de la responsabilité de l'IA

Chaudhary suggère qu'un approche de sécurité multicouche est crucial pour éviter les risques liés à des incidents de ce type. Comme il l'a souligné, la fuite a exposé une fonction qui pourrait être capable de contourner certaines mesures de sécurité — rendant nécessaire un cadre de sécurité plus robuste pour protéger les données sensibles et maintenir l'intégrité opérationnelle maintenant que cette fonction pourrait se retrouver entre les mains d'acteurs malveillants.

Conner a accepté, déclarant que le passage de déploiements pilotes ponctuels à des opérations agentiques de bout en bout met en évidence la nécessité de suivre efficacement le codage et les algorithmes. Il a recommandé de nouveaux cadres de gouvernance qui s'alignent sur les normes de sécurité existantes, telles que la conformité SOC, et qui définissent clairement les responsabilités et l'imputabilité liées aux systèmes d'IA.

Alors que les systèmes d'IA évoluent, a déclaré Conner, les entreprises doivent adopter des pratiques qui leur permettent de surveiller et d'analyser efficacement le comportement de l'IA, de comprendre les processus de prise de décision des systèmes d'IA et de garantir la transparence dans la manière dont les données sont utilisées. Les systèmes d'IA doivent être régulièrement évalués pour détecter les vulnérabilités et garantir une conformité continue.

La fuite du code source de Claude sert de rappel crucial des vulnérabilités présentes dans les systèmes d'IA et de l'importance d'établir la confiance et la sécurité dans les applications d'IA. Alors que les entreprises continuent de naviguer dans la complexité du déploiement de l'IA, il sera essentiel de donner la priorité à une sécurité multicouche, à la gouvernance et à l'observabilité pour garantir des pratiques d'IA responsables.

En adoptant ces stratégies, les organisations peuvent bâtir une base plus sûre pour leurs initiatives d'IA et éviter les retombées réputationnelles et opérationnelles d'un tel événement.

Regardez la vidéo