L'outil d'assistance à la programmation Claude Code, développé par la société Anthropic, fait l'objet de vives critiques de la part de sa communauté d'utilisateurs. Des développeurs ont mis en évidence une faille technique entraînant la divulgation involontaire d'adresses électroniques personnelles lors de requêtes web automatisées.
Une identification automatique devenue indiscrète
Le problème réside dans la manière dont Claude Code interagit avec les sites web. Pour s'identifier auprès des serveurs, notamment lors de recherches, l'agent utilise des informations contenues dans un fichier de configuration local. Dans certains cas, le modèle a intégré l'adresse email de l'utilisateur directement dans l'en-tête « User-Agent » de ses requêtes. Cette pratique, bien que courante pour les programmes automatisés devant se conformer aux règles d'identification de plateformes comme Wikipédia, a conduit à une exposition non désirée des données privées des développeurs, les exposant à une recrudescence d'emails indésirables.
Une récurrence qui fragilise la confiance
Si l'incident a pris une ampleur significative sur les plateformes spécialisées comme GitHub et Hacker News en novembre 2026, il ne s'agit pas d'un événement isolé. Des signalements similaires avaient déjà été enregistrés dès le mois de juillet, puis en octobre. Cette persistance a suscité l'agacement des utilisateurs, certains reprochant à l'éditeur un manque de considération pour la sécurité des données. La répétition de cette faille souligne une difficulté structurelle dans la gestion des informations sensibles au sein de l'agent de programmation.
L'efficacité du correctif en question
En réponse aux signalements, un correctif a été déployé par Anthropic au sein de la version 2.1.317. Toutefois, des tests indépendants menés par des développeurs suggèrent que cette mesure est incomplète. Si le module de protection bloque effectivement l'envoi de l'adresse via l'en-tête « User-Agent », il laisserait subsister plusieurs autres vecteurs de fuite. Selon ces analyses, l'adresse pourrait toujours être transmise via d'autres en-têtes HTTP, des identifiants de connexion ou lors de requêtes spécifiques où l'outil va chercher l'information directement dans les fichiers locaux. Cette situation laisse planer un doute sur la sécurité réelle des sessions de travail effectuées avec l'outil.