Le chercheur en sécurité britannique Kevin Beaumont, connu sous le pseudonyme GossiTheDog, a publié une alerte sur le réseau social Mastodon concernant la présence présumée de portes dérobées dans des extensions officielles de Claude Code, l'outil de développement assisté par IA d'Anthropic. Le message, publié sans détail technique approfondi dans sa version initiale, pointe un risque potentiel pour les développeurs qui installent ces extensions pour étendre les capacités de l'assistant de codage.
Claude Code s'inscrit dans la catégorie des outils de codage agentique, capables d'exécuter des commandes, de modifier des fichiers et d'interagir directement avec l'environnement de développement d'un utilisateur. Ce niveau d'accès rend particulièrement sensible toute compromission de la chaîne d'approvisionnement logicielle associée, qu'il s'agisse de paquets tiers ou d'extensions officiellement distribuées. Une porte dérobée insérée à ce niveau pourrait en théorie permettre une exécution de code arbitraire, une exfiltration de données ou une altération silencieuse de projets de développement.
À ce stade, les informations disponibles restent limitées à l'alerte initiale et aucun détail technique complet, comme la nature exacte du code incriminé, les extensions concernées ou l'ampleur de l'exposition, n'a été rendu public par la source. Anthropic n'a pas encore communiqué publiquement sur le sujet au moment de la publication. Ce type de signalement, émanant d'un chercheur reconnu dans le milieu de la cybersécurité, mérite néanmoins d'être suivi de près étant donné l'adoption croissante des outils de codage par IA dans les environnements professionnels.
Cet épisode s'inscrit dans une tendance plus large de vigilance accrue autour de la sécurité des écosystèmes d'extensions pour outils de développement, qu'ils soient pilotés par IA ou non. Les incidents précédents impliquant des paquets malveillants publiés sur des registres comme npm ou PyPI ont déjà démontré la vulnérabilité de ces chaînes d'approvisionnement. L'intégration croissante d'agents IA capables d'agir de manière autonome sur le système d'un développeur accroît l'enjeu de telles compromissions, rendant la vérification de l'intégrité des extensions officielles d'autant plus critique.