Pourquoi l'affaire Claude Leak est un récit édifiant

Par Amber Wolff, Reseaux Sociaux

La sécurité des entreprises est souvent présentée comme une course aux armements entre les acteurs malveillants et les professionnels de la cybersécurité. Mais c'est aussi une course contre la montre, entre les avancées technologiques majeures et les moyens dont nous disposons pour nous défendre contre les nouveaux risques qu'elles engendrent.

Jitterbit Le PDG Bill Conner a passé des décennies à piloter des initiatives de sécurisation des réseaux d'entreprise à travers le monde, et il a vu ce cycle se répéter à plusieurs reprises au cours de sa carrière. L'une de ses principales priorités lorsqu'il est arrivé à Jitterbit il s'agissait de veiller à ce que toutes les solutions de l'entreprise soient conçues en plaçant la sécurité au cœur de leur développement, et que Jitterbit Les innovations en matière d'IA étaient plus sûres, plus faciles à gouverner, plus transparentes et plus responsables.

Mais comme nous l'avons constaté suite à la fuite de données de Claude cette semaine, de nombreuses organisations qui ont adopté une approche « déployer d'abord et poser des questions ensuite » en matière d'IA commencent à prendre conscience des dangers liés au fait de considérer la sécurité comme une simple réflexion après coup.

Conner a récemment rejoint Jitterbit Le directeur technique Manoj Chaudhary et le directeur marketing Geoff Blaine discuteront de la fuite et des problèmes plus importants qu'elle soulève pour la sécurité des entreprises. Vous pouvez visionner la vidéo complète de jTalk ci-dessous :

Comprendre la fuite du code source de Claude

Le 31 mars 2026, Anthropic, développeur du célèbre assistant de programmation Claude LLM, a publié une mise à jour contenant par erreur une carte source JavaScript, un fichier à usage interne. Ce fichier pointait vers une archive du système de gestion de contenu interne de l'entreprise et, suite à une erreur de configuration, au moins un demi-million de lignes de code source propriétaire de Claude Code, l'assistant de programmation basé sur l'IA, sont devenues accessibles au public.

Contenant ce que le Wall Street Journal a qualifié d’« informations commercialement sensibles », ce trésor comprenait le code exécuté sur les machines de développement d’Anthropic, qui détaille le fonctionnement de l’écosystème de codage agentique, y compris les outils et les instructions permettant de faire agir leurs modèles d’IA comme des agents de codage.

En moins de 24 heures, le lien avait été partagé sur X et consulté près de 30 millions de fois. Il a été dupliqué d'innombrables fois sur GitHub et ailleurs, apparaissant plus vite qu'Anthropic ne pouvait envoyer de demandes de retrait DMCA.

Prévoyant cette issue, un développeur s'est attelé à la réécriture du code TypeScript, créant une version similaire mais distincte dans le langage de programmation Python afin d'éviter des répercussions juridiques.

Ce nouveau dépôt, baptisé « claw-code », est devenu le dépôt à la croissance la plus rapide de l'histoire de GitHub, dépassant largement le dépôt Claude Code d'origine d'Anthropic. Et il semble bien parti pour durer, car les recours d'Anthropic restent flous.

D'après les déclarations d'Anthropic, 90 % du Claude Code est généré par une IA, or les contenus générés par une IA ne bénéficient pas des mêmes protections que ceux créés par des humains. De plus, des copies miroirs ont fait leur apparition partout dans le monde, y compris dans des régions où l'application d'une loi américaine sur le droit d'auteur serait beaucoup plus difficile.

Ce que cela signifie pour les entreprises

Dans l' 2026 Jitterbit Rapport de référence sur l'automatisation de l'IANous avons constaté que plus de la moitié des répondants utilisaient l'IA pour la programmation. Pour les entreprises qui déploient du code de production généré par l'IA, les implications en matière de propriété intellectuelle sont évidentes.

Mais les implications en matière de sécurité sont encore plus inquiétantes.

Bien qu'elle ne soit pas directement la conséquence d'une faille de sécurité, cette fuite contribue déjà indirectement à un nombre inconnu de violations de données dans d'autres entreprises. Selon Zscaler« Des acteurs malveillants peuvent diffuser, et diffusent déjà, des versions infectées [du code divulgué] contenant des portes dérobées, des exfiltrateurs de données ou des mineurs de cryptomonnaie. Des utilisateurs non avertis clonent des versions dérivées d'apparence officielle. » risque de compromission immédiate. »

L'article de ThreatLabz suggère par ailleurs que ces dépôts malveillants apparaissent sur GitHub et dans les résultats de recherche Google.

Pour ne rien arranger, une version réécrite du code Claude affirme avoir supprimé tous les garde-fous et la télémétrie, ce qui pourrait faciliter l'utilisation des LLM pour créer du code malveillant ou trouver des vulnérabilités.

Bien qu'Anthropic ait rapidement expliqué que la fuite était due à une erreur humaine, cela soulève plus de questions que cela n'en résout, notamment concernant les pratiques opérationnelles d'entreprises comme Anthropic dans leur ensemble. Des experts en sécurité ont rapidement souligné qu'il s'agissait en réalité de la deuxième fuite de données chez Anthropic ces dernières semaines, ce qui pourrait révéler des problèmes de sécurité interne plus importants au sein de l'entreprise.

Anthropic a été construit sur une IA constitutionnelle et une extrême prudence — mais comme Jitterbit Le directeur technique Manoj Chaudhary a souligné : « Tout a été compromis par 3 mégaoctet de fichier source. » Chaudhary a ajouté que cet incident devrait inciter les entreprises à élargir leur champ d’action en matière de sécurité à la sécurité globale, notamment à la sécurité des opérations, afin d’éviter un résultat similaire.

L'importance de la sécurité multicouche et de la responsabilité en matière d'IA

Chaudhary suggère que approche de sécurité à plusieurs niveaux Il est essentiel d'éviter les risques liés à des incidents de ce type. Comme il l'a souligné, la fuite a révélé une fonctionnalité permettant de contourner certaines mesures de sécurité, ce qui impose un cadre de sécurité renforcé pour protéger les données sensibles et garantir l'intégrité opérationnelle, d'autant plus que cette fonctionnalité pourrait se trouver entre de mauvaises mains.

Conner a acquiescé, affirmant que le passage de déploiements pilotes ponctuels à des opérations automatisées de bout en bout souligne la nécessité d'un suivi efficace du code et des algorithmes. Il a recommandé de nouveaux cadres de gouvernance conformes aux normes de sécurité existantes, telles que la conformité SOC, et définissant clairement les responsabilités et les obligations liées aux systèmes d'IA.

Selon Conner, face à l'évolution des systèmes d'IA, les entreprises doivent adopter des pratiques leur permettant de surveiller et d'analyser efficacement le comportement de ces systèmes, de comprendre leurs processus décisionnels et de garantir la transparence de l'utilisation des données. Il est essentiel d'évaluer régulièrement les vulnérabilités des systèmes d'IA afin d'assurer leur conformité continue.

La fuite du code source de Claude met en lumière les vulnérabilités des systèmes d'IA et l'importance cruciale de garantir la confiance et la sécurité des applications d'IA. Face à la complexité croissante du déploiement de l'IA, les entreprises devront impérativement privilégier une sécurité multicouche, une gouvernance rigoureuse et une observabilité accrue pour assurer des pratiques responsables.

En adoptant ces stratégies, les organisations peuvent bâtir des bases plus sûres pour leurs initiatives en matière d'IA et éviter les répercussions opérationnelles et sur leur réputation suite à un tel événement.

Voir la vidéo