Claude Code : comment Anthropic a accidentellement publié 512 000 lignes de son code secret

C’était le 31 mars 2026, un mardi ordinaire dans le monde de l’IA. Un chercheur en sécurité informatique nommé Chaofan Shou a annoncé son fil Twitter, pardon son fil X que le code source de Claude avait fuité en ligne. En effet, un fichier bizarre, d’un poids inhabituel, glissé discrètement dans une mise à jour récente de Claude Code, l’assistant de codage phare d’Anthropic. Il clique, télécharge, ouvre… et tombe littéralement sur le code source complet du produit. Pas quelques lignes. Pas un extrait. La totalité : 512 000 lignes de TypeScript réparties dans 1 884 fichiers, des secrets de développement qu’Anthropic n’avait jamais voulu montrer à personne.

Sa publication sur X a accumulé plus de 28 millions de vues en quelques heures. Le dépôt miroir créé dans la foulée sur GitHub est devenu, selon toute vraisemblance, le repository à la croissance la plus rapide de toute l’histoire de la plateforme, avec 84 000 étoiles et 82 000 forks en moins de 24 heures. La communauté tech du monde entier était en ébullition. Et au coeur de cette tempête digitale, une ironie savoureuse que nous allons vous raconter.

Mais d’abord : c’est quoi Claude Code ?

Pour bien comprendre l’ampleur de ce qu’il s’est passé, il faut d’abord savoir ce qu’est Claude Code. En quelques mots : c’est l’outil de codage assisté par intelligence artificielle développé par Anthropic, la société fondée notamment par d’anciens chercheurs d’OpenAI. Claude Code fonctionne dans votre terminal, ce cadre noir avec des lettres blanches que vous avez peut-être vu dans des films de hackers et il peut lire votre code, le modifier, créer des fichiers, exécuter des commandes, et gérer des projets entiers de façon quasi-autonome.

C’est un outil professionnel, utilisé par des milliers de développeurs dans le monde. Et surtout, c’est un logiciel propriétaire : son code source n’était pas censé être visible du public. Anthropic avait pris soin de le distribuer sous forme « obfusquée » c’est à dire volontairement brouillé et illisible, comme si on avait transformé un texte clair en une soupe de caractères incompréhensibles. Personne ne devait pouvoir le lire. Et pourtant.

Ce qui s’est réellement passé : La science du désastre

Avant d’entrer dans les détails, une chose importante à préciser : cette fuite n’était pas le résultat d’un piratage. Aucun hacker n’a forcé une serrure numérique, aucune vulnérabilité n’a été exploitée. Il s’agissait d’une erreur humaine, pure et simple. Une de ces petites erreurs d’inattention qui peuvent avoir des conséquences colossales.

Le coupable : un fichier oublié dans le colis

Pour comprendre, imaginez que vous envoyez un colis à un client. À l’intérieur, vous mettez le produit fini, bien emballé. Mais dans votre précipitation, vous glissez aussi accidentellement vos notes de conception internes, vos schémas techniques confidentiels, et tous vos plans de développement futurs. Le client ouvre le colis, trouve tout ça, et le publie sur internet. C’est exactement ce qui s’est passé, à l’échelle d’un logiciel.

Le 30 mars 2026, l’équipe d’Anthropic a publié la version 2.1.88 de Claude Code sur npm, le registre public où les développeurs publient et téléchargent des packages JavaScript. Le code distribué était bien obfusqué, comme prévu. Mais le package contenait également un fichier avec l’extension .map, d’un poids de 59,8 mégaoctets, qui n’aurait jamais dû être là.

Un source map, c’est quoi exactement ?

Un fichier .map qu’on appelle « source map » dans le jargon technique, est un outil de débogage. Voici comment expliquer ça simplement : quand un développeur écrit du code, il l’écrit de façon lisible, avec des commentaires, des noms de variables explicites, une structure claire. C’est ce qu’on appelle le code source. Ensuite, avant de le distribuer, ce code passe par une étape de « compilation » ou de « minification » qui le rend illisible pour les humains et plus rapide à exécuter pour les machines.

Le source map est une sorte de dictionnaire de traduction entre ces deux versions. Il dit au navigateur ou à l’environnement d’exécution : « si une erreur survient à la ligne 1, colonne 284729 du code illisible, sache que ça correspond en réalité à la ligne 47 du fichier auth.ts dans le code original ». En développement, c’est indispensable pour déboguer. Dans un package distribué publiquement ? C’est donner à n’importe qui la totalité de votre code source en clair. Quelqu’un qui a le source map peut reconstituer exactement le code original, ce que la communauté a fait en quelques heures.

Pourquoi personne n’a rien vu ?

L’histoire a une couche de complexité supplémentaire. Anthropic avait racheté Bun, un nouveau moteur d’exécution JavaScript, à la fin de l’année 2025, et Claude Code avait migré vers cet outil pour son processus de compilation. Or, Bun avait un bug connu (répertorié sous le numéro #28001, signalé le 11 mars 2026) : même quand on lui demande explicitement de ne pas générer de source maps en mode production, il les génère quand même. Ce bug était ouvert depuis 20 jours avant l’incident. Personne n’avait fait le lien. Et personne dans l’équipe de release d’Anthropic n’avait non plus pensé à ajouter une règle *.map dans le fichier .npmignore, ce petit fichier de configuration qui indique quels fichiers exclure d’un package distribué.

Trois facteurs se sont donc conjugués en même temps : un bug dans un outil tiers, une règle d’exclusion manquante, et l’absence d’une vérification automatique dans le pipeline de release. Un audit simple, un script qui vérifie qu’aucun fichier .map ne se retrouve dans le package final, aurait suffi à tout éviter. Il n’existait pas.

⚠️  Cerise sur le gâteau : le source map ne contenait pas seulement le code. Il référençait également un fichier ZIP hébergé sur le bucket Cloudflare R2 d’Anthropic. Même sans le package npm, n’importe qui connaissant l’URL pouvait télécharger une archive complète du code source depuis les propres serveurs de l’entreprise.

Ce que la communauté a trouvé à l’intérieur : Les secrets d’Anthropic

Quand des milliers de développeurs du monde entier se mettent à éplucher 512 000 lignes de code en simultané, les découvertes s’accumulent rapidement. Ce que la communauté a trouvé à l’intérieur de ce code est franchement fascinant et en dit long sur la direction qu’Anthropic entend donner à Claude.

KAIROS : l’assistant qui travaille pendant que vous dormez

La fonctionnalité la plus commentée porte le nom de code KAIROS, un mot grec qui désigne « le moment opportun », celui où il faut agir sans attendre. Et c’est exactement l’idée derrière cette fonctionnalité non encore publiée : un agent IA de fond, toujours actif, qui continue à travailler sur vos projets même quand vous n’êtes pas devant votre écran.

Concrètement, KAIROS est décrit dans le code comme un « daemon persistant entre les sessions » dans le jargon informatique, un daemon est un processus qui tourne en arrière-plan, silencieusement. Il recevrait des notifications push, intégrerait des webhooks GitHub pour surveiller vos dépôts en temps réel, et gérerait des sessions tmux, un outil terminal qui permet de garder des processus actifs même quand on ferme le terminal. Avec plus de 150 mentions dans le code source, c’est la fonctionnalité la plus attendue du prochain Claude Code.

Encore plus intrigant : KAIROS embarquerait un système appelé AutoDream, une mécanique de consolidation de mémoire en quatre phases qui se déclencherait automatiquement quand vous n’utilisez pas l’outil. Phase 1, Orient : scan des logs de session récents. Phase 2, Gather : identification des modèles et décisions importantes. Phase 3, Consolidate : compression en mémoire durable. Phase 4, Prune : suppression du bruit, maintien du résultat sous 25 kilo-octets. En d’autres termes, Claude qui fait le ménage dans sa mémoire pendant que vous dormez.

BUDDY : votre animal de compagnie virtuel dans le terminal

Celle-là, personne ne l’avait vu venir. Enfouie dans un fichier nommé companion.ts, la communauté a découvert un système complet d’animal de compagnie virtuel, directement inspiré des Tamagotchis des années 90. BUDDY, c’est son nom, est une créature numérique qui vit dans votre terminal, avec ses propres statistiques, son état de santé, et… son espèce déterminée par un hash de votre identifiant utilisateur. Chaque développeur aurait donc un BUDDY unique, personnel.

Dix-huit espèces ont été codées : canard, dragon, axolotl, capybara, champignon, fantôme, et douze autres. Le code source laissait même entrevoir un calendrier de lancement : une période teaser du 1er au 7 avril 2026, avec un lancement complet en mai. Et devinez quoi ? Le 1er avril, la commande /buddy a bel et bien été activée brièvement dans Claude Code, comme le code l’indiquait. Un teaser qui a confirmé que ces éléments de code n’étaient pas du tout fictifs.

ULTRAPLAN : la planification stratégique dans le cloud

ULTRAPLAN est une autre fonctionnalité non encore publiée qui décrit des sessions de planification de 30 minutes, exécutées dans le cloud sur le modèle Opus 4.6, via ce que le code appelle le Cloud Container Runtime (CCR). Le workflow prévu : Claude conçoit un plan complet dans le cloud, le présente dans votre navigateur pour validation humaine, puis l’exécute. Une supervision humaine intégrée directement dans le processus agentic.

L’Undercover Mode : la révélation la plus embarrassante

Là, on entre dans le territoire de l’ironie pure. Le code source révèle l’existence d’un « mode undercover », littéralement « mode infiltré », conçu pour les employés d’Anthropic lorsqu’ils utilisent Claude Code sur des dépôts publics ou open source. Ce mode supprime automatiquement toute mention de Claude dans les messages de commit Git. Il retire les lignes Co-Authored-By qui indiquent qu’une IA a participé à la rédaction du code. Et les commentaires internes dans le code sont sans ambiguïté.

Cette fonctionnalité a soulevé un débat enflammé sur la transparence de l’usage de l’IA dans les contributions open source. Si les propres employés d’Anthropic masquent l’utilisation de leur IA dans leurs commits publics, qu’est-ce que cela dit de leur vision de la transparence algorithmique ?

L’ironie de la situation n’a pas échappé à grand monde : Anthropic a construit un système pour cacher ses secrets internes dans les commits publics… et a accidentellement publié ce système pour que tout le monde le lise.

Les noms de code des futurs modèles

En fouillant le code, les développeurs ont aussi mis la main sur plusieurs noms de code de modèles en développement. Le plus attendu : Capybara, le nom interne d’un nouveau niveau de modèle au-dessus de Claude Opus qui serait essentiellement un Opus 5. Son nom public, découvert dans une fuite distincte quelques jours avant : Claude Mythos. Le code source le décrivait comme « de loin le modèle IA le plus puissant jamais développé par Anthropic ». Un autre nom de code trouvé dans le code : Tengu, le nom interne du projet Claude Code lui-même.

📋 Résumé des découvertes dans le code source

• 44 feature flags : fonctionnalités cachées derrière des interrupteurs
• 26 commandes slash non documentées publiquement
• 330+ variables d’environnement internes
• KAIROS : agent de fond toujours actif (non publié)
• BUDDY : animal de compagnie virtuel Tamagotchi (teaser lancé le 1er avril)
• ULTRAPLAN : sessions de planification cloud de 30 minutes (non publié)
• Undercover Mode : masquage de l’IA dans les commits publics
• Coordinator Mode : Claude en orchestrateur d’agents parallèles
• VOICE_MODE : commandes terminal par la voix (non publié)
• SSH_REMOTE : exécution d’agents directement sur des serveurs en production
• Capybara / Claude Mythos : codename du prochain modèle phare

Les conséquences au-delà du spectaculaire

Si la partie « découvertes » de cet incident a largement dominé la couverture médiatique, les conséquences sécuritaires sont en réalité bien plus préoccupantes et elles ont été largement sous-estimées dans le bruit ambiant.

La fuite comme carte pour les attaquants

Les chercheurs de la firme de cybersécurité Straiker ont souligné un point crucial : avec l’architecture interne de Claude Code désormais entièrement documentée, les attaquants peuvent étudier précisément comment les données circulent dans le pipeline de contexte de l’outil. Cela leur permet de concevoir des charges malveillantes capables de survivre à la compaction de contexte, un mécanisme qui compresse et nettoie la mémoire de l’agent. En clair, des attaques persistantes à travers les sessions longues deviennent théoriquement possibles pour un attaquant connaissant l’architecture interne. Les tentatives de jailbreak à l’aveugle, c’est du passé.

La campagne de typosquatting

Dans les heures suivant la fuite, des acteurs malveillants ont exploité une information précieuse contenue dans le code : les noms des dépendances internes qu’Anthropic utilisait et qui n’avaient jamais été rendus publics. Un utilisateur nommé « pacifier136 » a commencé à publier des faux packages npm portant ces noms, une attaque dite de typosquatting ou de confusion de dépendances. Les développeurs essayant de compiler le code source fuité depuis GitHub se retrouvaient à télécharger des packages malveillants pensant installer les vraies dépendances.

La réponse d’Anthropic

Anthropic a réagi rapidement : le package v2.1.88 a été retiré du registre npm dans la journée. Un porte-parole de l’entreprise a publié une déclaration officielle qui tenait en deux phrases essentielles : « Aucune donnée client sensible ni aucun identifiant n’a été exposée. Il s’agissait d’un problème de packaging de la version causé par une erreur humaine, pas d’une faille de sécurité. »

L’entreprise a également lancé une campagne DMCA, un mécanisme légal américain de protection des droits d’auteur pour forcer la suppression des miroirs du code source sur les grandes plateformes d’hébergement comme GitHub. Résultat mitigé : les dépôts sur les plateformes décentralisées, les forks et les réécritures propres échappent à ces injonctions légales. La communauté a notamment publié des portages du code en Python et en Rust. Le logiciel « claw-code », réécriture directement inspirée de l’architecture découverte, a atteint 50 000 étoiles GitHub en à peine deux heures.

Ce n’est par ailleurs pas la première fois qu’Anthropic est confronté à ce type d’incident. Une fuite quasi-identique avait déjà touché une version précédente de Claude Code en février 2025, soit environ 13 mois plus tôt. Deux incidents du même type en peu plus d’un an sur le même produit, ça interroge sur la maturité des processus de release de l’entreprise.

Ce que ça change pour nous, utilisateurs et développeurs

Au-delà du spectacle, cette fuite a plusieurs implications concrètes pour les personnes qui utilisent ou souhaitent utiliser des outils d’IA dans leur travail.

La transparence de l’IA dans les contributions open source

L’Undercover Mode a lancé un débat de fond qui dépasse Anthropic. Est-il éthique de masquer l’usage de l’IA dans des contributions à des projets open source ? Plusieurs communautés de développeurs estiment que la transparence sur l’usage des outils est fondamentale dans l’esprit du logiciel libre. D’autres arguent que l’IA est un outil comme un autre, au même titre qu’un compilateur, et que son usage n’a pas à être déclaré systématiquement. Le débat est loin d’être tranché.

L’architecture agentic se complexifie

Les 512 000 lignes de code révèlent une réalité que peu de gens mesuraient : construire un agent IA de qualité professionnelle est un travail d’une complexité monumentale. Compression de contexte personnalisée, permissions granulaires par outil, orchestration multi-agents, gestion de mémoire persistante… tout ça demande une infrastructure d’ingénierie que les équipes les plus modestes ne peuvent pas dupliquer en quelques semaines, même avec le code source sous les yeux.

La supply chain logicielle reste un maillon fragile

Cette affaire illustre, une fois de plus, que la chaîne d’approvisionnement logicielle (les packages que vous installez depuis npm, PyPI ou autres) reste l’un des vecteurs d’attaque les plus efficaces. Les attaques de typosquatting et de confusion de dépendances qui ont suivi la fuite montrent que les acteurs malveillants savent exploiter l’actualité en temps réel pour piéger les développeurs imprudents.

Quand le gardien oublie de verrouiller la porte

L’affaire Claude Code restera dans les mémoires comme l’un des incidents les plus ironiques de l’histoire récente de l’IA. Une entreprise qui a construit un mécanisme sophistiqué pour cacher ses secrets dans les dépôts publics… a involontairement mis tous ses secrets dans le dépôt public par excellence : le registre npm.

Ce n’est pas une histoire de hackers brillants ou de cyberattaques élaborées. C’est l’histoire d’un fichier oublié dans un colis, d’un bug non corrigé dans un outil maison, et d’un pipeline de release sans filet de sécurité. Trois petites négligences qui, combinées, ont ouvert grand les portes d’un des logiciels IA les plus avancés du marché.

La bonne nouvelle ? Anthropic a dit travailler à des mesures pour éviter que cela ne se reproduise. Les fonctionnalités découvertes KAIROS, BUDDY, ULTRAPLAN, laissent entrevoir un avenir passionnant pour les assistants IA de codage. Et finalement, pour ceux qui s’interrogent sur ce que l’IA est vraiment capable de faire dans les coulisses, cette fuite accidentelle a peut-être été le regard le plus honnête qu’on ait jamais eu sur la machinerie intérieure de ces outils.

Parce qu’au fond, voir 512 000 lignes de code dedié à rendre Claude plus utile, plus mémorisant, plus autonome… c’est aussi voir combien d’ingénieurs, de réflexion, et d’heures de travail se cachent derrière chaque réponse que votre assistant IA vous donne. Ça méritait bien un article.

Et vous, que pensez-vous de cette fuite ? Une simple erreur humaine, ou le signe d’un manque de rigueur dans les processus de release des entreprises IA ? Donnez votre avis en commentaire !