Alerte générale ! La fuite du code source de Claude Code provoque des "dommages collatéraux" : Des pirates tendent un piège de phishing sur GitHub

marsbitPublié le 2026-04-03Dernière mise à jour le 2026-04-03

Résumé

Selon un rapport, la fuite du code source de Claude Code due à une erreur humaine chez Anthropic a déclenché une série d'incidents de sécurité. Des pirates exploitent désormais cet événement en créant de faux dépôts sur GitHub pour propager un logiciel espion nommé Vidar. Ces dépôts malveillants, optimisés pour les moteurs de recherche, prétendent offrir une version "déverrouillée avec des fonctionnalités entreprises" du code source divulgué, ciblant ainsi les développeurs imprudents. Une fois exécuté, le logiciel malveillant Vidar vole les informations sensibles, y compris les mots de passe des navigateurs et les portefeuilles de cryptomonnaies, tout en installant l'outil proxy GhostSocks pour assurer une persistance et un accès à distance. Les experts en sécurité mettent en garde contre ces pièges et rappellent l'importance de n'utiliser que des canaux officiels pour éviter de tomber dans ces attaques sophistiquées.

Selon un rapport du 2 avril, l'incident de fuite du code source de Claude Code, causé par une erreur humaine d'Anthropic, continue de s'aggraver. Actuellement, des pirates exploitent cet événement chaud en propageant un logiciel malveillant de vol d'informations nommé Vidar via de faux dépôts sur GitHub.

Leurre amélioré : Prétention de "déverrouiller des fonctionnalités professionnelles"

Un rapport de surveillance de la société de sécurité Zscaler montre qu'un utilisateur nommé idbzoomh a créé plusieurs faux dépôts sur GitHub.

Phishing ciblé : Le pirate affirme dans la description du dépôt fournir une version divulguée du code source "déverrouillant des fonctionnalités professionnelles", induisant les développeurs impatients de l'essayer à le télécharger.
Optimisation SEO : Pour étendre la portée de l'attaque, l'attaquant a optimisé les mots-clés pour les moteurs de recherche, ce qui fait que ces dépôts malveillants apparaissent souvent en tête des résultats lorsque les utilisateurs recherchent des mots-clés comme "fuite du code Claude Code".

Profil du virus : Infiltration de Vidar, données "déménagées"

Dès qu'un utilisateur est trompé, télécharge et exécute le fichier exécutable inclus, le système est rapidement compromis :

Vol d'informations : Le Vidar implanté est un logiciel malveillant très mature sur le dark web, spécialisé dans la collecte de mots de passe de navigateurs, de portefeuilles de cryptomonnaies et de diverses informations personnelles sensibles.
Latence persistante : Le virus déploie également simultanément l'outil proxy GhostSocks, établissant un canal secret pour les contrôles à distance ultérieurs et la transmission de données.

Avertissement de risque : Méfiez-vous des "repas gratuits" provenant de canaux non officiels

Les chercheurs en sécurité soulignent que les archives malveillantes de ces faux dépôts sont mises à jour à une fréquence très élevée, contournant facilement les détections de sécurité de base. Au moins deux dépôts utilisant des techniques similaires ont été identifiés, suggérant que le même attaquant teste différentes stratégies de propagation.

Observation de l'industrie : Le "piège en chaîne" de la sécurité de l'IA

De l'erreur de packaging du code source d'Anthropic à la réutilisation de l'événement chaud par les pirates pour le phishing, cet incident reflète la complexité des risques de sécurité à l'ère de l'IA. Lorsque la communauté des développeurs devient une cible, les compétences numériques de base - ne pas exécuter de fichiers binaires de source inconnue - restent la dernière ligne de défense.

L'équipe éditoriale rappelle à tous les développeurs : Veuillez absolument obtenir les outils via les canaux officiels d'Anthropic, et ne tombez pas dans les pièges soigneusement conçus par les pirates par curiosité ou en recherchant des "fonctionnalités crackées".

Questions liées

QQuel est le principal risque de sécurité découlant de la fuite du code source de Claude Code ?

ADes pirates ont exploité la fuite pour créer des dépôts GitHub malveillants diffusant le logiciel espion Vidar, volant les mots de passe, les portefeuilles de crypto-monnaie et les informations personnelles.

QComment les attaquants attirent-ils les développeurs vers leurs dépôts GitHub malveillants ?

AIls prétendent offrir le code source divulgué pour 'déverrouiller les fonctionnalités entreprise' et optimisent leurs dépôts avec des mots-clés pour apparaître en tête des résultats de recherche.

QQuel est le nom du logiciel malveillant distribué via ces faux dépôts ?

ALe logiciel malveillant distribué s'appelle Vidar.

QQuel outil supplémentaire les pirates déploient-ils pour maintenir un accès persistant aux systèmes infectés ?

AIls déploient également l'outil proxy GhostSocks pour établir des canaux secrets pour le contrôle à distance et l'exfiltration des données.

QQuel conseil de sécurité principal est donné aux développeurs pour éviter ces pièges ?

AIl est conseillé de n'obtenir les outils que par les canaux officiels d'Anthropic et de ne jamais exécuter de fichiers binaires provenant de sources inconnues.

Lectures associées

Kalshi, MTS et l'ambition de a16z

Le marché des prédictions, illustré par des plateformes comme Kalshi, connaît un regain d'intérêt en 2025, suscitant l'enthousiasme des investisseurs, des acteurs de la cryptomonnaie et des médias. Cet engouement dépasse les simples opportunités de régulation ou de revenus, touchant à une dimension philosophique plus profonde. L'article retrace l'évolution intellectuelle du concept, depuis les théories de Hayek sur la connaissance dispersée dans la société, jusqu'aux mécanismes incitatifs comme le LMSR de Robin Hanson, conçus pour révéler l'information. Cependant, c'est l'entrée en jeu du géant du capital-risque a16z, avec son investissement massif dans Kalshi, qui marque un tournant. a16z voit dans le marché des prédictions bien plus qu'un produit financier : un nouvel outil médiatique fondamental. Il répondrait au désir contemporain de "présence" et d'action face à un monde de plus en plus médiatisé et déterministe. En pariant de l'argent réel sur des événements mondiaux, l'utilisateur passerait du statut de spectateur passif à celui d'observateur actif et impliqué, recouvrant un sentiment d'agency. Cette capacité à générer de l'engagement et à définir la réalité par les prix du marché (établissant la véracité et l'importance des événements) en ferait une pièce maîtresse de l'empire des "nouveaux médias" qu'a16z cherche à construire. Cet empire, illustré par des acteurs comme MTS, se caractérise par une production et une diffusion d'information extrêmement rapides et intenses, visant à "s'approprier la timeline". La valeur ultime de Kalshi résiderait ainsi dans son puissant "champ de distorsion de la réalité" : sa capacité, via le poids de l'argent engagé par la foule, à influencer la perception collective du futur et à s'imposer comme un arbitre de la vérité, conférant à une entreprise privée une influence historique rare.

marsbitIl y a 14 mins

marsbitIl y a 14 mins

Urgent : Un vétéran du projet puce d'OpenAI rejoint Anthropic

Clive Chan, membre clé de l'équipe matérielle d'OpenAI et deuxième employé de son projet de puces maison, a annoncé son départ pour rejoindre Anthropic. Dans sa déclaration, il a exprimé son admiration pour l'équipe talentueuse d'OpenAI, tout en expliquant son désir de "grimper une nouvelle montagne depuis la base". Il a été impressionné par les talents, les valeurs et l'ambition d'Anthropic, où il a déjà fait face à un rythme de travail intense. Interrogé sur l'avancement des puces maison d'OpenAI, Clive Chan a renvoyé vers le blog de partenariat avec Broadcom, révélant un objectif de déploiement à partir de la seconde moitié de 2026 pour un système d'accélérateurs AI de 10GW. Son parcours comprend des passages chez Tesla, Google et SpaceX, avant de rejoindre OpenAI en janvier 2024 pour travailler sur ses puces dédiées à l'IA. Son arrivée chez Anthropic, qui vient de lever 65 milliards de dollars avec une valorisation proche de 1000 milliards, a été saluée par un employé d'Anthropic et a suscité des réactions comparant ce mouvement à un transfert entre grands rivaux. Ce départ s'inscrit dans une tendance de flux de talents entre OpenAI et Anthropic, comme illustré récemment par le départ du cofondateur Andrej Karpathy, soulignant l'importance cruciale de l'expertise humaine dans la course à l'IA de pointe.

marsbitIl y a 17 mins

Urgent : Un vétéran du projet puce d'OpenAI rejoint Anthropic

marsbitIl y a 17 mins

Changement de cap mondial chez a16z : Le capital-risque devient le « moteur » de l'alliance technologique américaine

L’annonce de Ben Horowitz marque un virage stratégique majeur dans la globalisation d’a16z. Le fonds ne se contente plus de rechercher des projets à l’étranger, mais s’inscrit dans un cadre plus large de compétition technologique et de coopération entre alliés, explicitement lié au leadership technologique des États-Unis et de leurs partenaires. Dans un contexte où l’IA, la robotique, la cybersécurité et les chaînes d’approvisionnement deviennent des enjeux de compétition nationale, le rôle des VC évolue. A16z renforce ses capacités pour aider ses startups à naviguer dans des environnements complexes, mêlant marchés, régulations et géopolitique. Les initiatives clés incluent : l’ouverture d’un bureau à Tokyo, la nomination d’Anne Neuberger (ancienne responsable gouvernementale) comme associée chargée des affaires mondiales pour conseiller sur la politique et la géopolitique, et la transformation de l’équipe relations investisseurs en une équipe « Partenaires Mondiaux » pour faciliter les connexions et le déploiement international des entreprises. L’objectif reste de soutenir les meilleures entreprises technologiques partout dans le monde (plus de 100 investissements internationaux à ce jour), mais avec une mission élargie : être un organisateur reliant les startups aux capacités nationales, aux ressources industrielles et au réseau des alliés, contribuant ainsi à la compétitivité technologique des États-Unis et de leurs alliés.

marsbitIl y a 29 mins

Changement de cap mondial chez a16z : Le capital-risque devient le « moteur » de l'alliance technologique américaine

marsbitIl y a 29 mins

Kalshi, MTS et les ambitions d'a16z

Les marchés prédictifs, représentés par Kalshi, émergent comme un domaine clé en 2025, attirant fonds d'investissement, acteurs de la cryptomonnaie et médias. Leur importance dépasse la simple spéculation. Leur évolution conceptuelle remonte à Hayek (l'utilisation de la connaissance dans la société) et à Robin Hanson (mécanisme LMSR pour inciter à la révélation d'informations), avec l'idée utopique d'une « futarchie ». L'intérêt de a16z, qui a investi dans Kalshi (évalué à 220 milliards de dollars), va au-delà du modèle économique. Leur thèse centrale est que les marchés prédictifs offrent un « sentiment de présence » et une forme d'« anti-cynisme » dans un monde moderne où les individus se sentent déconnectés. En pariant sur des événements mondiaux, l'utilisateur devient un « observateur superlatif », investi et influençant la perception collective. Cela s'inscrit dans la vision de « nouveaux médias » de a16z : un écosystème médiatique complet et rapide qui « s'approprie la timeline », comme le démontre MTS (Monitoring The Situation), un média en continu sur Twitter. Kalshi ajoute à ce dispositif une autorité unique car ses prix reflètent des paris en argent réel, lui conférant un pouvoir de « distorsion de la réalité » pour définir la vérité et l'importance des événements. C'est ce pouvoir, rarement détenu par une entreprise privée, qui justifierait sa valorisation faramineuse et en ferait une pièce maîtresse de l'empire médiatique de a16z.

链捕手Il y a 30 mins

链捕手Il y a 30 mins

Comprendre la réalité du commerce, des paiements et des infrastructures des Agents

**Interprétation de la réalité des agents, des paiements et des infrastructures commerciales** Au cours de l'année passée, l'auteur a travaillé sur l'infrastructure de l'économie des agents, interagissant avec Stripe, Visa, Coinbase, Google et des dizaines de startups. La conclusion est claire : il n'existe pas encore de demande réelle, et les startups font face à des problèmes structurels. Stripe a enregistré peu de transactions d'agents malgré un fort intérêt. Visa impose des seuils de revenus et des processus KYC extrêmement restrictifs, accessibles uniquement aux géants comme Amazon. Les chiffres d'utilisation des agents sur la blockchain (comme via le protocole x402) sont largement gonflés par des transactions de test. **Agent vs Commerçant** : L'expérience d'achat par agent (IA) est souvent inférieure au commerce électronique traditionnel pour les achats visuels (vêtements, électronique). L'interface conversationnelle est un recul par rapport aux interfaces riches. La demande actuelle des marchands est défensive : ils veulent être "trouvables" par les agents par crainte de rater une future tendance. Les cas d'usage convaincants sont limités (commande de nourriture, navigation dans des interfaces complexes), mais nécessitent une distribution de masse détenue par les géants. **Agent vs API** : Les développeurs utilisent déjà massivement des API (calcul, données). Le problème du coût des micro-transactions est souvent résolu par du prépaiement. Le véritable obstacle est que les grands fournisseurs SaaS privilégient les contrats enterprise. Les opportunités pour les nouveaux systèmes de paiement (comme les stablecoins) se situent dans la longue traîne des services, un marché plus restreint. **Agent vs Agent** : Ce modèle est encore théorique, sans volume significatif. Il impliquerait des transactions ultra-rapides entre entités non humaines, avec des montants variables et des règlements multipartites. C'est un pari à long terme sur une infrastructure dédiée, mais ce n'est pas le marché actuel. **Agent vs Finance** : C'est la seule catégorie avec une demande existante et une volonté de payer. Intégrer l'IA dans les workflows financiers existants (gestion de portefeuille, DeFi) est une évolution naturelle et crée de nouvelles capacités. Cependant, la concurrence est rude face aux institutions établies, régulées et bien connectées. **Le véritable enjeu** : Les grandes entreprises construisent par stratégie défensive et ont les moyens d'attendre. Pour les startups, il est crucial de se concentrer sur le marché actuel. Le problème fondamental n'est pas le paiement, mais la **coordination** entre agents et humains : vérifier le travail, s'accorder sur les résultats, puis régler. Le paiement n'est qu'une partie de la solution de coordination. Ce sont les entreprises qui résoudront le problème de la coordination à grande échelle qui domineront, en intégrant le paiement, et non l'inverse. L'expérience de l'auteur l'a conduit vers un autre segment de marché, actif, en croissance et encore mal desservi, en dehors de ces quatre catégories.

marsbitIl y a 33 mins

Comprendre la réalité du commerce, des paiements et des infrastructures des Agents