Alibaba bannit Claude Code en interne : l’histoire du code caché qui a mis le feu à la relation USA-Chine en IA

Il y a des histoires de cybersécurité qui commencent de façon presque banale, avant de prendre une ampleur géopolitique que personne n’avait anticipée. Celle-ci débute le 30 juin 2026, avec un utilisateur de Reddit qui cherchait simplement à réactiver une fonctionnalité désactivée dans Claude Code, l’outil d’agent de code d’Anthropic qu’on a déjà largement couvert sur ce blog. En fouillant dans le code de l’application, il tombe sur quelque chose qu’il ne cherchait pas : un mécanisme dissimulé, actif depuis des mois, qui identifie discrètement si vous êtes en Chine.

Dix jours plus tard, Alibaba, l’un des plus grands groupes technologiques chinois, bannissait purement et simplement Claude Code de tous ses environnements de travail internes, et ordonnait à ses employés de désinstaller l’ensemble des produits Anthropic. Entre ces deux dates, une escalade rapide qui touche au cœur de la confiance que les développeurs peuvent accorder à leurs outils d’IA, et qui s’inscrit dans un conflit bien plus large entre les États-Unis et la Chine sur le terrain de l’intelligence artificielle.

La découverte : Comment un utilisateur de Reddit a tout déclenché

Tout commence par un exercice de rétro-ingénierie plutôt classique dans le monde du logiciel. Le 30 juin 2026, un utilisateur identifié sous le pseudonyme LegitMichel777 publie sur le forum r/ClaudeAI de Reddit une analyse détaillée de Claude Code, qu’il avait entrepris de décortiquer pour restaurer une fonctionnalité de contrôle à distance désactivée dans l’application.

Ce qu’il découvre au passage n’a rien à voir avec cette fonctionnalité. Il met au jour un morceau de code obfusqué c’est-à-dire délibérément rendu difficile à lire, par exemple via un chiffrement simple appelé XOR présent dans l’application depuis la version 2.1.91, publiée le 2 avril 2026, sans la moindre mention dans les notes de version officielles.

🔍  Petit rappel utile : les notes de version (changelog) sont censées lister tous les changements apportés à un logiciel à chaque mise à jour. L’absence totale de mention de ce mécanisme pendant près de trois mois est précisément ce qui a transformé une découverte technique en scandale, ce n’est pas la présence d’un mécanisme de sécurité qui pose problème en soi, c’est son caractère non déclaré.

Le mécanisme technique, expliqué simplement

Voici ce que faisait précisément ce code caché, en langage accessible. Quand Claude Code détectait qu’un utilisateur passait par un serveur intermédiaire (un proxy : une technique courante pour contourner des restrictions géographiques), il déclenchait deux vérifications discrètes.

• Le fuseau horaire du système : le code vérifiait si l’horloge de l’ordinateur était réglée sur Asia/Shanghai ou Asia/Urumqi, les deux fuseaux horaires utilisés en Chine.
• L’adresse du proxy utilisé : le code comparait cette adresse à une liste de 147 domaines chinois codés en dur dans le programme, incluant des adresses associées à Alibaba, Baidu, Ant Group, ByteDance et Moonshot AI.

Si ces deux vérifications concordaient, le code ne se contentait pas d’envoyer une simple donnée de télémétrie classique, il modifiait de façon quasiment invisible certains éléments du message envoyé aux serveurs d’Anthropic : le format des dates passait de tirets à des barres obliques, et certaines apostrophes étaient remplacées par un caractère Unicode visuellement identique mais techniquement différent.

🕵️  Ce procédé porte un nom en sécurité informatique : la stéganographie, l’art de dissimuler une information à l’intérieur d’une autre donnée d’apparence anodine, de façon à ce qu’elle passe inaperçue. Ici, ces micro-modifications de ponctuation servaient de marqueur discret, permettant à Anthropic d’identifier a posteriori quelles sessions avaient été signalées comme provenant potentiellement de Chine sans que l’utilisateur ne puisse le voir ni le désactiver.

La défense d’Anthropic : Ce n’est pas ce que vous croyez

Face à la publication Reddit devenue virale, la réaction d’Anthropic a été rapide. Dès le 1er juillet 2026, le lendemain de la découverte, Thariq Shihipar, ingénieur sur l’équipe Claude Code, a répondu publiquement sur X.

« Ceci est une expérimentation que nous avons lancée en mars pour prévenir les abus de compte par des revendeurs non autorisés et nous protéger contre la distillation »  – Thariq Shihipar, ingénieur Claude Code chez Anthropic, X, 1er juillet 2026

Dans la même intervention, l’ingénieur a confirmé que ce mécanisme allait être retiré, une demande de fusion de code (pull request) supprimant cette fonctionnalité a effectivement été intégrée le 1er juillet 2026, soit un jour seulement après la publication Reddit.

La version officielle d’Anthropic tient donc en deux mots : anti-fraude et anti-distillation. Selon cette explication, ce mécanisme ne visait pas à espionner les utilisateurs chinois en tant que tels, mais à repérer des schémas d’usage frauduleux des comptes utilisés en masse pour siphonner les capacités de Claude, généralement en violation des conditions d’utilisation qui interdisent déjà l’accès aux entités chinoises.

Le vrai contexte : Une accusation de vol à 25 000 comptes

Pour comprendre pourquoi Anthropic en est arrivée à développer un tel mécanisme, il faut remonter à un événement antérieur, largement passé sous les radars du grand public jusqu’à cette affaire : une accusation formelle portée par Anthropic devant le Congrès américain.

Le 10 juin 2026, Anthropic a envoyé une lettre aux dirigeants de la Commission bancaire du Sénat américain, accusant des opérateurs liés au laboratoire Qwen d’Alibaba d’avoir mené ce que l’entreprise a qualifié de plus importante attaque de distillation jamais recensée contre ses modèles.

≈ 25 000  Comptes frauduleux allégués  (créés pour siphonner les capacités de Claude)

28,8 millions  Échanges générés  (entre le 22 avril et le 5 juin 2026)

Sarah Heck, responsable des affaires publiques chez Anthropic, a détaillé ces accusations devant les sénateurs. Le sénateur Tim Scott, l’un des destinataires de cette lettre, a d’ailleurs commenté publiquement lors d’une audition : « Les États-Unis ne peuvent pas se permettre de laisser la Chine, ou tout autre adversaire, prendre l’avantage technologique en matière d’intelligence artificielle. »

⚖️  Alibaba a formellement démenti ces accusations de distillation, sans toutefois répondre en détail point par point. À ce jour, aucune preuve indépendante et publique ne permet de trancher définitivement cette accusation initiale, elle repose sur les seules affirmations d’Anthropic.

C’est quoi la distillation, et pourquoi ça inquiète tant Anthropic

Pour les lecteurs qui découvrent ce terme technique, la distillation de modèle est une pratique qui consiste à utiliser les réponses d’une IA puissante et coûteuse à entraîner (comme Claude) pour entraîner un modèle plus petit et moins cher, qui apprend à imiter le comportement du modèle original sans avoir eu accès à sa technologie interne.

💡  Analogie simple : imaginez un chef étoilé qui refuse de partager sa recette secrète. Un concurrent malin pourrait goûter son plat des centaines de fois, en déduire les ingrédients et les proportions par élimination, puis reproduire une version très proche sans jamais avoir eu accès au livre de recettes original. La distillation fonctionne sur un principe similaire : on apprend en observant massivement les réponses, sans accéder au code ou aux poids du modèle lui-même.

Ce n’est pas la première fois qu’Anthropic porte ce type d’accusation. Dès février 2026, l’entreprise avait déjà publiquement nommé DeepSeek, Moonshot AI et MiniMax, trois autres laboratoires chinois comme responsables de campagnes similaires. Anthropic présente ouvertement la distillation comme une menace existentielle pour son modèle économique : pourquoi une entreprise chinoise investirait-elle des milliards dans l’entraînement d’un modèle frontière si elle peut, à moindre coût, en extraire l’essentiel des capacités par simple observation massive ?

Dans un billet de blog, Anthropic est allée jusqu’à chiffrer l’enjeu stratégique : si la pratique de la distillation était endiguée, en complément des restrictions américaines sur l’exportation de puces électroniques vers la Chine, les États-Unis pourraient conserver une avance de 12 à 24 mois sur la Chine dans la course à l’IA de pointe.

La riposte d’Alibaba : Un bannissement total, pas seulement Claude Code

Le 3 juillet 2026, le South China Morning Post révèle le contenu d’une note interne d’Alibaba, confirmée depuis par Reuters et plusieurs médias spécialisés en cybersécurité.

« Claude Code ayant récemment été découvert comme porteur de risques de porte dérobée, après une évaluation complète, Claude Code a désormais été ajouté à une liste de logiciels à haut risque présentant des vulnérabilités de sécurité »  – Note interne d’Alibaba, rapportée par le South China Morning Post, 3 juillet 2026

La sanction, effective depuis le 10 juillet 2026, dépasse largement le seul Claude Code. Selon plusieurs médias chinois citant des sources internes à l’entreprise, les employés d’Alibaba auraient reçu l’instruction de désinstaller l’ensemble des produits Anthropic présents sur leurs postes de travail professionnels y compris les familles de modèles Sonnet, Opus et Fable, qu’on a nous-mêmes largement couverts sur ce blog ces dernières semaines.

🔄  En remplacement, Alibaba recommande à ses équipes de basculer vers Qoder, sa propre plateforme d’agent de code développée en interne, une décision qui, au passage, sert clairement les intérêts stratégiques du groupe en poussant ses ingénieurs vers un écosystème 100% domestique.

Une entreprise chinoise de cybersécurité, Huorong Security, a également pris position sur l’affaire, estimant que ce mécanisme caché ne relevait pas seulement d’un problème de transparence, mais soulevait de véritables questions de conformité des données transfrontalièresn un angle qui résonne avec les préoccupations de souveraineté numérique qu’on a déjà explorées sur ce blog à propos du gating gouvernemental des modèles d’IA.

Les deux lectures d’un même événement

Ce qui rend cette affaire particulièrement intéressante à décortiquer, c’est le fossé d’interprétation entre les deux parties, chacune s’appuyant sur les mêmes faits techniques pour aboutir à des conclusions opposées.

Élément	Lecture d’Anthropic	Lecture d’Alibaba et des critiques
Nature du code	Expérimentation anti-fraude légitime	Porte dérobée de surveillance non déclarée
Cible visée	Comptes frauduleux liés à la distillation	Tous les utilisateurs chinois, sans distinction
Transparence	Erreur de communication, corrigée rapidement	Dissimulation délibérée pendant 3 mois
Portée de l’accès	Empreintes digitales de session, pas d’accès au code source	Accès potentiellement plus large, non vérifiable
Conclusion logique	Mesure de protection de la propriété intellectuelle	Signal d’alarme justifiant un bannissement total

La chercheuse Lizzi Lee, du Centre d’analyse sur la Chine de l’Asia Society Policy Institute, résume assez bien la logique qui sous-tend la réaction chinoise.

« Si un outil de code IA américain peut détecter l’usage chinois ou l’accès par proxy, il n’est pas surprenant que les grandes entreprises technologiques chinoises ne veuillent pas que leurs employés l’utilisent en interne »  – Lizzi Lee, Asia Society Policy Institute

Il faut aussi noter un élément technique qui nuance sérieusement la portée réelle de ce mécanisme : selon l’analyse publique du code, celui-ci se limitait à identifier des indices géographiques (fuseau horaire, adresse de proxy) et à marquer discrètement une session, il ne lisait ni n’exfiltrait le contenu des projets de code des utilisateurs. Le découvreur du code lui-même a d’ailleurs souligné qu’un « adversaire modérément sophistiqué » pourrait facilement contourner cette détection, ce qui, selon lui, rendait le coût en matière de vie privée disproportionné par rapport au bénéfice réel obtenu.

Le timing qui ne doit rien au hasard

Un détail chronologique mérite d’être souligné pour nos lecteurs qui suivent notre couverture de l’actualité Anthropic depuis plusieurs semaines : cette affaire éclate exactement au moment où Fable 5 et Mythos 5, les modèles qu’on avait vus suspendus mondialement mi-juin, puis progressivement restaurés fin juin et début juillet, retrouvaient tout juste leur accessibilité complète.

📅  Chronologie resserrée : les contrôles à l’export sur Fable 5 sont levés le 30 juin. L’accès mondial est restauré le 1er-2 juillet. Et c’est très exactement à cette même période, entre le 30 juin et le 3 juillet, que l’affaire du code caché éclate et qu’Alibaba annonce son bannissement. Ces deux dossiers, bien que distincts sur le plan technique, s’inscrivent dans la même semaine tendue de relations gópolitiques entre Washington et Pékin sur le terrain de l’intelligence artificielle.

Cette proximité de calendrier illustre à quel point la rivalité américano-chinoise sur l’IA se joue désormais sur de multiples fronts simultanés : contrôle des exportations de modèles, accusations de vol de propriété intellectuelle par distillation, découvertes de mécanismes de surveillance cachés, et ripostes réglementaires internes aux grandes entreprises technologiques chinoises.

Ce que ça signifie pour vous, même hors de Chine

Si vous n’êtes ni en Chine, ni employé d’une entreprise chinoise, cette affaire peut sembler lointaine. Elle soulève pourtant des questions qui concernent tout utilisateur d’outils IA, où qu’il se trouve.

• La confiance dans le code fermé : Claude Code, comme la plupart des outils d’IA commerciaux, n’est pas open source. Cette affaire rappelle qu’un logiciel propriétaire peut contenir des mécanismes non documentés, découverts uniquement grâce au travail bénévole de chercheurs indépendants.
• L’accès profond de ces outils à vos systèmes : Claude Code nécessite un accès étendu au système de fichiers local pour lire, modifier et exécuter du code. Cette affaire illustre concrètement pourquoi ce niveau d’accès mérite une vigilance particulière, quel que soit l’éditeur du logiciel.
• Une leçon de proportionnalité pour les petites structures : comme le soulignait un expert consulté sur cette affaire, rien n’indique que les utilisateurs nord-américains ou européens aient été spécifiquement ciblés ou lésés par ce code précis. Une réaction de panique généralisée ne serait pas proportionnée pour la majorité des utilisateurs.
• Un rappel sur l’importance des mises à jour : la correction ayant été fusionnée le 1er juillet 2026, s’assurer d’utiliser une version de Claude Code postérieure à cette date suffit à ne plus être concerné par ce mécanisme spécifique

Un conflit qui dépasse largement le seul code informatique

Ce qui me frappe le plus dans cette affaire, c’est la façon dont un simple exercice de rétro-ingénierie, mené par un utilisateur curieux sur un forum communautaire, a réussi à mettre en lumière une tension bien plus vaste que la seule question technique du code lui-même. Le vrai sujet ici n’est pas tant de savoir si trois lignes de code obfusquées constituent, à elles seules, une preuve d’espionnage systématique, les éléments techniques disponibles suggèrent plutôt un mécanisme anti-fraude mal communiqué qu’une opération de surveillance de masse.

Le vrai sujet, c’est que cette affaire s’est produite dans un contexte où la confiance entre les écosystèmes technologiques américain et chinois est déjà tellement dégradée que la moindre découverte technique ambiguë se transforme immédiatement en confirmation des soupçons de chaque camp. Anthropic voit dans le comportement d’Alibaba une preuve supplémentaire de mauvaise foi dans le dossier de distillation. Alibaba voit dans le code caché la confirmation que les outils américains ne sont pas dignes de confiance pour ses ingénieurs. Les deux lectures s’auto-alimentent, sans qu’aucune des deux parties n’ait véritablement intérêt à désamorcer la tension.

Ce que cette affaire confirme surtout, c’est une tendance de fond qu’on documente depuis plusieurs semaines sur ce blog : la fragmentation croissante de l’écosystème mondial de l’IA, où la confiance technique se double désormais systématiquement d’une lecture géopolitique. Un simple pull request corrigeant trois lignes de code caché est devenu, en quelques jours, un symbole de la méfiance mutuelle entre deux superpuissances technologiques et ça, ça dit quelque chose de bien plus large que la seule affaire Claude Code.

🔸 Trouvez-vous la justification d’Anthropic « un mécanisme anti-fraude et anti-distillation » crédible et proportionnée, ou penchez-vous davantage vers l’interprétation d’Alibaba, qui y voit une surveillance ciblée déguisée en mesure de sécurité ?

🔸 Cette affaire change-t-elle votre confiance dans les outils d’IA propriétaires en général qu’ils soient développés par des entreprises américaines ou chinoises ? Pensez-vous que ce type de découverte devrait pousser vers davantage de solutions open source, où le code peut être audité librement par n’importe qui ?

Partagez votre analyse en commentaire.