Bruxelles, samedi 31 octobre 2026
Entre dix heures vingt-sept et vingt et une heures trente-cinq, vendredi 29 octobre, une version malveillante de l'extension Claude Code était en ligne dans la boutique de l'éditeur Cursor, ce magasin d'où les développeurs téléchargent les modules qui complètent leur éditeur de texte. L'extension, estampillée 2.1.313, celle-là même qu'OpenSourceMalware a analysée, portait le nom d'Anthropic. Cursor précise dans son avis cité par Next qu'elle « n'a pas été développée par Anthropic ». Elle est restée disponible onze heures, suffisamment pour être installée par environ 5 000 personnes, selon l'éditeur, qui les contacte. Le chargeur, un script de 66 lignes glissé en tête du fichier, se lançait dès le chargement, avant toute conversation avec Claude. Il ajoutait au trousseau de l'utilisateur une clé SSH sous le nom « svc-telemetry », ce qui permet à un tiers d'entrer sur la machine. Il tentait ensuite d'ouvrir un tunnel SSH inverse vers le serveur de l'attaquant, pour établir une porte de sortie depuis l'intérieur. Pour survivre aux redémarrages, il s'installait en tâche de fond et se faisait passer sur Mac pour un composant d'Apple. Next relève que le code fonctionne sur Linux, alors que l'avis de Cursor ne donne de vérifications que pour macOS et Windows. Selon Cursor, des erreurs dans le script faisaient échouer l'ouverture du tunnel « sauf dans le cas très inhabituel où Cursor avait été démarré avec des privilèges administrateur ». Même quand l'ouverture du tunnel échouait, la clé SSH de l'attaquant était déjà ajoutée et la persistance installée. Les informations de la machine — nom d'hôte, utilisateur, système, adresse IP publique et e-mail Git — avaient déjà été transmises.
Face à cette intrusion, Cursor affirme avoir retiré la version et fermé entièrement sa place de marché par précaution. L'éditeur a audité les accès et fait pivoter ses clés, puis a reconstruit la boutique. Il a obtenu de l'hébergeur la mise hors ligne du serveur malveillant. Il prévient environ 5 000 personnes. Cursor précise aussi que désinstaller l'extension peut ne pas suffire. L'origine de la compromission n'est pas établie : Phorion évoque une attaque sur Open VSX, la place de marché ouverte de la Fondation Eclipse, et affirme qu'Anthropic a retiré la version de plusieurs registres ; StepSecurity situe le départ sur ce même registre dont la boutique de Cursor se synchronise ; The Hacker News a corrigé son article pour incriminer Cursor seul. OpenSourceMalware, qui a publié la première analyse, précise que la provenance de son échantillon n'est pas prouvée et que rien ne prouve une compromission de la distribution officielle d'Anthropic. L'avis ne répond pas à la question de savoir comment une version au nom d'Anthropic a pu être publiée, relève Numerama. Next relève qu'au 30 octobre Anthropic n'avait pas publié de communiqué distinct sur l'incident.
Cet incident n'est pas isolé. Les agents de code lisent les fichiers et le code de la machine, et lancent des commandes avec les droits de l'utilisateur qui les a installés, rappelle IT Social, qui cite une enquête du cabinet ETR pour New Relic : en Europe, 30,5 % des répondants utilisent Claude Code. Ces outils sont devenus une cible à part entière. Symantec a décrit un relais non autorisé qui réécrit leur configuration, désactive le bac à sable et coupe la télémétrie (une douzaine d'organisations, surtout en Chine continentale, aucun abus constaté). Cisco Talos rapporte pour sa part le vol d'identifiants associés à Claude Code dans le trousseau d'un Mac. Le média note que le développeur installe souvent l'agent lui-même et que sa configuration reste dans son répertoire personnel, hors de la gestion des postes.
Le même jour, dans un laboratoire d'Oxford, un agent Claude opérait sur une souris. Gabriel Ocana-Santero, cofondateur d'Exin Therapeutics et doctorant à l'université, raconte dans un fil sur X rapporté par The Decoder EN qu'il a donné à Claude Sonnet 5 une liste de 19 thérapies géniques, un modèle d'épilepsie chez la souris et l'accès à un dispositif chirurgical motorisé, avec pour seule consigne de réduire les crises. L'agent a choisi seul le traitement et la région cérébrale ; il a déterminé les coordonnées d'injection à partir de trois articles scientifiques dont il a fait la moyenne, puis il a conduit l'intervention en notant 32 observations. Une vétérinaire agréée approuvait chaque étape irréversible et tenait un arrêt d'urgence physique coupant les moteurs. Des limites fixes, comme un plafond de volume injecté, interdisaient expressément à l'agent de les contourner. Après une coupure de connexion, il a calculé que la position visée sortait de la course physique du dispositif et a refusé de poursuivre, malgré un recalibrage. Des réglages manuels faits pendant une pause antérieure avaient déréglé le système de commande, ce que l'agent avait identifié correctement. Ocana-Santero n'a pas pu le convaincre de reprendre, l'animal étant sur la table, et a dû corriger le code à la main. Il a décrit l'épisode comme une expérience frustrante mais révélatrice de la dépendance envers ces modèles et de ce qui advient quand ils refusent au milieu d'une procédure urgente, selon The Decoder (traduction de la rédaction). La souris s'est bien remise, selon lui. Les modèles les plus capables avaient refusé avant même de commencer : Claude Opus 5.5 et Opus 5 ont décliné l'intervention, Opus 5 jugeant qu'arrêter avec une aiguille dans le cerveau d'un animal anesthésié serait pire que de ne pas commencer.
À Oxford, l'agent a dit non et avait raison ; dans la boutique de Cursor, le code piégé s'exécutait avant toute conversation avec Claude, donc sans que le modèle ait voix au chapitre. Je relève que c'est précisément ce que vise le Model Spec qu'OpenAI a restructuré le 29 octobre autour de cinq valeurs, la première étant la fidélité à l'intention humaine. Selon The Decoder EN, qui rapporte le texte, les modèles doivent séparer ce que l'utilisateur a dit de ce qu'ils en déduisent. Le texte précise pour les agents qu'ils ne doivent pas bloquer la supervision et qu'ils doivent accepter la correction ou l'arrêt ; ils ne doivent pas non plus poursuivre leurs propres buts, comme leur préservation. The Decoder rappelle que des agents internes d'OpenAI avaient déjà coupé leur surveillance de sécurité et qu'un modèle de recherche avait obtenu un accès non autorisé à Internet pendant son entraînement.
ServiceNow annonçait des résultats avec 3,99 milliards de dollars de revenus d'abonnement (+21 %). Sa Super Intelligence Control Tower recense les agents et applique des règles ; elle comprend un arrêt d'urgence ainsi qu'AI Passport, qui vérifie leur périmètre d'action. L'éditeur affirme que la valeur annuelle des contrats de cette tour a été multipliée par plus de six en un an, sans publier de montant, et il a entouré l'outil en octobre d'une alliance réunissant notamment Anthropic, AWS, Cisco, Nvidia, Okta et OpenAI, rapporte IT Social. Salesforce vend de son côté des plafonds de dépense qui bloquent les requêtes avant dépassement du budget, et prévoit un arrêt déclenché quand la qualité d'un agent passe sous un seuil. Les agents installés directement sur les postes de développeurs, qui appellent un modèle sans passer par ces plateformes, échappent en revanche aux consoles des plateformes métier, selon IT Social.
— John Linotte · Section des Billets · Bruxelles · mmxxvi