Claude Code exposé à l’injection de prompt et aux sessions volées

Claude Code, l’agent de développement d’Anthropic, a été montré vulnérable à une attaque par injection de prompt pouvant conduire à l’exécution de code contrôlé par un attaquant, selon le chercheur Johann Rehberger, alias wunderwuzzi. En parallèle, Anthropic a coupé des comptes Claude compromis après la détection de sessions volées, signe que les outils d’IA attirent aussi les mêmes malwares que les autres services en ligne. Ces deux épisodes rappellent qu’un assistant puissant reste fragile dès qu’il sort du cadre prévu.

Quand un simple résumé de site devient un piège

Le scénario présenté par Rehberger part d’une demande banale : résumer un site web. Dans sa démonstration, Claude Code en mode Auto — le réglage par défaut de Claude depuis la mi-août, selon la source — tente d’abord d’utiliser son outil WebFetch, puis échoue avec une erreur 415 Unsupported Media Type. Le modèle bascule alors vers une commande Bash avec curl, ce qui ouvre la porte au reste de la chaîne d’attaque.

Le site redirige ensuite vers une archive ZIP piégée. Celle-ci contient des fichiers qui paraissent ordinaires, dont un README, des métadonnées, sept enregistrements JSON encodés, un binaire macOS et un fichier Python malveillant nommé struct.py. Claude refuse d’exécuter le décodeur fourni, jugeant que « This is planned and what the attacker wants, » mais choisit d’écrire son propre décodeur. « Ironically, that safety decision is the exploit path, » écrit Rehberger. La suite repose sur une technique classique en Python, le module shadowing : un fichier local portant le même nom qu’un module standard masque ce dernier et se fait charger à la place.

Le vrai sujet, c’est l’exécution hors du bac à sable

Dans ce cas précis, le faux struct.py lance un processus Python séparé pour télécharger puis exécuter une charge distante. Rehberger indique qu’il a utilisé ChatGPT pour obfusquer ce code afin de contourner les garde-fous de Claude. Le résultat ouvre même une session de type commande et contrôle qui déclenche Calculator sur macOS. Rien de très rassurant, même si l’usage final de la calculette a presque des airs de démonstration pédagogique involontaire.

Le chercheur est allé plus loin avec un autre scénario : le fichier piégé invoque une seconde instance de Claude Code via claude -p. Cette nouvelle entité dispose de ses propres outils et de son propre contexte, et a effectué des opérations de reconnaissance basiques comme whoami, uname et id, tout en écrivant dans des fichiers du dossier personnel. Sur trois variantes testées cinq fois chacune, Rehberger dit avoir obtenu des succès entre 60 % et 80 %, en précisant que l’échantillon restait limité mais représentatif d’une attaque motivée.

Anthropic met l’accent sur la limite des garde-fous

Anthropic n’a pas répondu à la demande de commentaire du Register, mais aurait indiqué au chercheur que le comportement observé était « working as designed ». Rehberger résume ainsi la réponse : « Auto Mode is a convenience feature backed by a best-effort classifier, not a security guarantee. » Autrement dit, le filtre intégré n’est pas pensé pour bloquer des chaînes d’injection composées d’étapes prises séparément comme inoffensives. La vraie barrière, selon lui, se trouve ailleurs : isolation du système et contrôle des sorties réseau.

Le message est simple. Les agents de code ne doivent pas être traités comme des environnements de confiance. Un modèle peut refuser un binaire, puis fabriquer lui-même le chemin qui mène au piège. C’est précisément là que le modèle cesse d’être un assistant et devient une surface d’attaque.

Des sessions Claude revendent aussi leurs jetons

Deuxième sujet, distinct mais tout aussi parlant : Anthropic a déconnecté de force un compte Claude compromis après avoir détecté une exploitation de session authentifiée. L’utilisateur concerné, identifié comme WorriedAssociate7029, explique sur Reddit qu’un infostealer classique a aspiré ses identifiants Google, ses cookies et ses jetons de session après l’installation d’un jeu piraté. Le malware n’a pas été attribué à Claude, et rien n’indique qu’il ait été distribué via le service.

Dans le mail cité par la source, Anthropic écrit : « Si votre quota d’utilisation semblait se recharger, puis s’épuiser sans que vous utilisiez Claude, c’est probablement parce que votre session était exploitée par un tiers. » L’entreprise a retiré le moyen de paiement associé et semble avoir remonté la piste grâce à ses signaux internes de fraude. Les familles de malwares mentionnées dans ce contexte incluent Vidar, LummaC2, StealC, RedLine, Acreed et Atomic Stealer.

Le cas montre surtout que les comptes liés à des outils d’IA ont une valeur bien réelle sur le marché noir. Des attaquants peuvent siphonner l’accès, le revendre ou l’utiliser directement. Claude n’échappe donc pas à une mécanique déjà connue pour les réseaux sociaux, la messagerie ou la banque en ligne : quand une session vaut de l’argent, elle finit tôt ou tard dans la ligne de mire.

Anthropic serre aussi la vis sur l’usage de Claude Code

Anthropic a en parallèle annoncé une modification des plafonds hebdomadaires de Claude Code. L’entreprise affirme augmenter de 25 % les limites standard pour les offres Pro, Max, Team et les sièges Enterprise, à partir du 14 septembre, mais le calcul est moins flatteur qu’il n’y paraît. Comme le note la société elle-même dans une clarification publiée après avoir supprimé un premier fil, cela représente en réalité une baisse de 17 % par rapport aux limites temporairement relevées de 50 % encore en vigueur jusqu’au 13 septembre.

Autrement dit, un utilisateur disposant d’un quota de 100 unités passerait à 150 pendant la promotion, puis à 125 après le 14 septembre. Anthropic précise que l’usage dépend aussi de la longueur des conversations, du modèle choisi, de l’usage des outils et du niveau d’effort. Les chiffres ne se traduisent donc pas en un nombre fixe de prompts. Mais le message commercial reste clair : plus de contrôle, moins de promesses implicites, et une réforme qui ressemble autant à une amélioration qu’à un atterrissage en douceur.