En résumé : cette controverse repose en réalité sur deux histoires distinctes superposées. Les confondre vous exposera immédiatement aux lecteurs techniques anglophones sur HN, Reddit et dans les cercles sécurité — et nuit à l'E-E-A-T. Gardez-les toujours séparés :

Incident A (selon la divulgation de Hanff et reproduction indépendante) : Après installation de Claude Desktop, il écrit silencieusement une config Native Messaging dans plusieurs répertoires navigateur, pré-autorisant des extensions à appeler un binaire local hors sandbox navigateur avec privilèges utilisateur complets. Il crée même des répertoires pour navigateurs non installés. Suppression manuelle — Claude Desktop recrée au redémarrage. Le consultant indépendant Noah Kenney (Digital 520) a confirmé la reproductibilité ; Antiy Labs a publié une analyse de risque dédiée.

Incident B (selon le reverse engineering thereallo.dev) : Un développeur a trouvé de la stéganographie de prompt dans Claude Code — le focus de cet article. Le fil HN a atteint la page d'accueil en quelques heures : 350+ points, 100+ commentaires, communauté divisée entre « défense anti-distillation raisonnable » et « comportement proche du malware pour un outil dev ».

Précondition : cela ne se déclenche que si ANTHROPIC_BASE_URL pointe ailleurs que l'endpoint officiel (proxy, passerelle, revendeur, couche compatible OpenAI). Avec api.anthropic.com, rien n'est altéré.

Lors du déclenchement, deux signaux se cachent dans l'innocente ligne Today's date is ... :

Les listes de domaines et mots-clés sont légèrement obfusquées avec base64 + XOR (clé 91) — environ 147 motifs de domaine. Les mots-clés incluent deepseek, moonshot, zhipu, minimax, baichuan, stepfun, 01ai et d'autres. Le reverse engineer a vérifié les versions 2.1.193 / 2.1.195 / 2.1.196 avec la logique.

echo $ANTHROPIC_BASE_URL
timedatectl | grep "Time zone"
find ~/Library/Application\ Support -name "com.anthropic.claude_browser_extension.json" 2>/dev/null

Pour un humain, le prompt paraît tout à fait ordinaire. Le backend d'Anthropic lit en un scan de codepoint Unicode d'une apostrophe : « Cet utilisateur est derrière un VPN mais est en réalité dans un fuseau horaire chinois — possiblement un labo IA chinois. » Un canal dissimulé classique.

Le consensus mesuré de la communauté : c'était presque certainement de l'anti-distillation et anti-revente non autorisée. Anthropic, OpenAI et Google se sont tous inquiétés publiquement des concurrents récoltant les sorties API pour entraîner des modèles plus petits. Revendeurs, proxys et labos liés à la Chine sont les principaux suspects — d'où le classificateur.

L'intention est défendable ; la méthode ne l'est pas. Transformer un signal de classification en ponctuation invisible, l'obfusquer dans le binaire et l'expédier à chaque requête — dans un outil développeur qui vit de la confiance — franchit une ligne. Sur Hacker News, le fil s'est scindé nettement :

« Spyware » est un mot chargé. Plus précisément :

Quel que soit le label, le cœur du problème est identique : pas de consentement éclairé, délibérément caché. La lecture dominante : Anthropic visait à détecter la revente non autorisée et la distillation de modèle, pas à surveiller des individus ; la controverse porte sur la méthode (dissimulée, obfusquée, non divulguée), pas l'objectif.

Que vous routiez Claude Code via un proxy ou exécutiez Claude Desktop sur macOS, ces étapes sont reproductibles et auditables :

claude --version
find ~/Library/Application\ Support -path "*/NativeMessagingHosts/com.anthropic.claude_browser_extension.json"
grep -r "ANTHROPIC_BASE_URL" ~/.zshrc ~/.bashrc ~/.zprofile 2>/dev/null

La vraie leçon n'est pas « une apostrophe ». C'est que lorsque la capacité des modèles s'emballe tandis que les frontières de sécurité, le consentement et l'auditabilité prennent du retard, les fournisseurs continueront de franchir la frontière de confiance avec les utilisateurs (et autres éditeurs de logiciels) au nom de l'« UX » ou de la « prévention des abus ».

Sources : The Register (changements permissions Claude Desktop, 04/2026) ; Malwarebytes / gHacks / YOOTA (couverture Native Messaging) ; thereallo.dev (reverse engineering original Claude Code) ; Tech Startups / TMC Insight / Developers Digest / TechTimes (correctif 2.1.197) ; analyse de risque Antiy Labs.

Considérons les alternatives : exécuter Claude Desktop à nu sur un Mac personnel avec Native Messaging multi-navigateur laisse des canaux à haut privilège et surfaces d'injection difficiles à auditer ; dépendre entièrement de revendeurs Claude tiers vous expose longtemps à du fingerprinting non divulgué ; macOS virtualisé pour agents viole l'EULA Apple et casse la signature Xcode. Pour des environnements agent IA en production nécessitant CI/CD iOS, root complet et stabilité 7×24, la location cloud dédiée Mac Mini M4 KVMNODE est généralement la meilleure voie : matériel 100 % physique, sudo ouvert, conditions flexibles jour/semaine/mois, Claude Code dans un hôte isolé et auditable. La technologie peut être neutre ; une entreprise ne l'est pas. Plus le modèle est capable, plus le fournisseur doit se contraindre — et cela ne devrait pas être un secret qu'on ne découvre qu'en reverse-engineering un binaire.