L’e-mail de Claude Code dans le User-Agent : un échec de confidentialité par défaut

Donneriez-vous votre adresse e-mail à chaque site web que votre assistant consulte pour vous ? Personne ne répondrait oui. C’est pourtant ce que Claude Code aurait fait, selon un rapport de bogue, et les détails comptent moins que le réflexe de conception qui le sous-tend.

Ce qui s’est passé, en bref

Le 5 novembre, un développeur a ouvert le ticket GitHub n° 107757 à propos de Claude Code. L’auteur affirme que Claude Code a révélé son e-mail à des tiers quelconques dans l’en-tête de requête User-Agent lors de recherches web, et qu’il reçoit désormais des dizaines d’e-mails frauduleux par jour. Selon AI Weekly Malaysia, le rapport vise la version 2.1.318 sous macOS, et son auteur fait migrer son entreprise vers Pi avec OpenRouter. L’affaire s’est vite propagée: d’après clauding.de, le ticket a atteint 687 points sur Hacker News en quelques heures.

Sur le correctif, la documentation est plus mince et en partie contradictoire. StartupHub.ai indique que la réponse d’Anthropic est un réglage nommé cc-plugin-privacy dans /plugins, activé par défaut dans la version 2.1.317. Ce numéro est inférieur à celui du rapport: avec ce que nous avons, impossible de savoir quelles versions sont touchées. Nous n’avons pas non plus vu de déclaration officielle d’Anthropic. Mieux vaut considérer ces détails comme non établis. Le lien de causalité avec les e-mails frauduleux est lui aussi une affirmation de l’auteur, que nous ne pouvons pas vérifier.

Un identifiant dans un en-tête est une décision, pas un accident

Les chaînes User-Agent servent à dire à un serveur quel logiciel frappe à sa porte. Y mettre un e-mail personnel transforme une étiquette technique en traceur. Quelle que soit la façon dont il y est arrivé, il nous semble que quelqu’un a dû décider qu’il avait sa place dans le trafic sortant.

Nous pensons que c’est là que se situe l’échec. Pas dans le fait qu’un bogue soit passé: les bogues existent. L’échec, c’est que des données identifiantes se trouvaient sur le chemin par défaut vers l’internet ouvert. Un réglage par défaut respectueux de la vie privée serait l’inverse: l’agent n’envoie rien qui identifie l’utilisateur, sauf si celui-ci l’active. Si un éditeur a une bonne raison d’envoyer un identifiant, comme la prévention des abus ou l’attribution, il peut le demander une fois, en termes clairs, et expliquer qui le reçoit.

Les agents de programmation aggravent la situation par rapport à une application classique. Un navigateur vous prévient quand vous visitez un site. Un agent récupère des pages de lui-même, en nombre, au milieu d’une tâche que vous avez décrite en une phrase. Vous ne voyez pas les requêtes, vous ne pouvez donc pas vous y opposer. Le silence est l’expérience par défaut, et c’est précisément pourquoi les réglages par défaut doivent être prudents.

Le manque de transparence est la plus grande faille

Même si le réglage corrige ce cas précis, la question demeure: que transmettent d’autre les agents ? Noms d’hôte, détails de la machine, chemins de projets, identifiants de session ? Nous l’ignorons et, pour la plupart des outils, les utilisateurs aussi. C’est là le vrai problème.

L’écosystème réagit déjà. Le projet open source Stroq affirme pouvoir analyser vos anciennes sessions Claude Code et Codex, montrer quelles clés ont quitté votre machine et bloquer les appels sortants contenant des secrets connus. Nous y voyons un bon signe que l’on construise de tels outils, et un mauvais signe qu’ils soient nécessaires. Les utilisateurs ne devraient pas avoir à auditer leur propre assistant avec un script tiers pour savoir ce qu’il envoie.

Ce que les éditeurs nous doivent, et ce que vous pouvez faire

Notre recommandation aux éditeurs est simple. Premièrement, des identifiants désactivés par défaut et activables par un message clair. Deuxièmement, une liste publiée et versionnée de ce que l’agent envoie en dehors de l’API du modèle, y compris les en-têtes des requêtes web. Troisièmement, un journal des modifications qui signale clairement tout changement de cette liste. Rien de tout cela n’est exotique, et une entreprise qui vend un outil auquel on confie son code et ses identifiants peut se le permettre.

Pour les utilisateurs, les mesures pratiques sont modestes. Mettez à jour vers la dernière version, vérifiez le réglage de confidentialité des plugins mentionné plus haut et lisez le fil du ticket avant de vous croire à l’abri. Si votre adresse est exposée, attendez-vous à davantage de spam et agissez en conséquence. Si vous travaillez en entreprise, demandez à votre équipe de sécurité d’examiner ce que vos agents envoient avant que le prochain incident ne le fasse à sa place.

La leçon dépasse un seul éditeur. Anthropic est loin d’être la seule à concevoir des agents qui agissent en notre nom, et tous sont soumis à la même tentation d’en envoyer un peu plus que nécessaire. Des identifiants optionnels et une transparence honnête devraient être le minimum. Moins que cela revient à demander aux utilisateurs de faire confiance par défaut, et la confiance est la seule chose qu’un agent ne devrait pas présumer.