Claude Code Desktop : une simple page HTML piégée pouvait voler vos clés secrètes

Vous ouvrez un projet trouvé sur Internet et vous demandez à votre assistant de programmation d’en relire un fichier. Rien d’inhabituel. Pourtant, selon des chercheurs en sécurité, cela suffisait à faire sortir vos clés secrètes de votre ordinateur. La faille, baptisée SneakPeek, touchait l’application de bureau Claude Code Desktop d’Anthropic. Elle est aujourd’hui corrigée.

Un aperçu qui exécute du code

Claude Code Desktop dispose d’un volet d’aperçu. Quand l’assistant crée ou modifie un fichier HTML, l’application l’affiche automatiquement, comme le ferait un navigateur.

Les chercheurs de Noma Security ont montré que ce volet pouvait être détourné. Le scénario décrit est simple :

1. Un attaquant publie un dépôt de code d’apparence normale, avec un fichier HTML déguisé, par exemple en rapport de couverture de tests.
2. Un développeur récupère ce dépôt et demande à l’assistant de relire ou de modifier ce fichier.
3. L’aperçu s’affiche, et le script caché s’exécute sans demander la moindre autorisation.

Le script pouvait alors lire des fichiers sensibles sur la machine : clés SSH privées, identifiants AWS, jetons GitHub ou npm, clés d’API, jetons de connexion à Claude. Il les envoyait ensuite vers un serveur contrôlé par l’attaquant.

Trois protections contournées

L’application avait pourtant trois garde-fous : une politique de sécurité du contenu, une isolation des origines et un filtre de requêtes. Les chercheurs expliquent les avoir contournés en chaîne.

Les fichiers HTML de plus de 256 Ko suivaient un autre chemin d’affichage, qui ne passait pas par la politique de sécurité du contenu. Le filtre de requêtes pouvait aussi être déjoué pour atteindre des fichiers locaux.

Un correctif en deux temps

Selon le calendrier publié par Noma, la faille a été signalée à Anthropic le 4 juillet. Un premier correctif est sorti le 9 juillet. Le 24 juillet, les chercheurs ont trouvé un contournement, à l’aide d’un composant du navigateur appelé Web Worker et d’une adresse de type blob:. Le correctif définitif a été déployé le 17 août, après des changements plus profonds.

Anthropic a évalué la faille à 8,7 sur 10 (échelle CVSS v4.0), soit une gravité élevée. Aucun identifiant CVE n’a été signalé dans les articles consultés. D’après la presse, le correctif complet figure dans la version 1.30096.1 de Claude Code Desktop. Les versions touchées n’ont pas été précisées.

Ce qu’il faut faire

Si vous utilisez Claude Code Desktop, vérifiez que l’application est à jour. L’application se met normalement à jour seule, mais un redémarrage est parfois nécessaire.

Si vous avez ouvert des dépôts de sources inconnues avec une version antérieure, changez par précaution vos clés SSH, vos jetons d’accès et vos clés d’API. Aucune exploitation réelle de la faille n’a été rapportée dans les sources consultées.

Cette affaire illustre un risque plus large avec les assistants d’IA : dès qu’ils lisent, affichent ou exécutent du contenu venu de l’extérieur, ce contenu peut devenir une porte d’entrée. Ne leur confiez pas de dépôts inconnus sur une machine qui contient vos accès les plus sensibles. Pour savoir si l’un de vos comptes a déjà été touché, lisez notre guide compte piraté : que faire.