Sécurité de Claude : vos secrets dans un fichier de réglages, et une extension qui exécute du code

Trois affaires de sécurité autour de Claude en une semaine, et aucune n'est un piratage classique. Personne n'a cassé un chiffrement ni volé une base de mots de passe. Dans chaque cas, l'agent a fait ce qu'on l'autorisait à faire. Le problème était dans l'approbation : une enregistrée pour toujours, une cliquée par un script, une jamais demandée.

1. « Ne plus demander » a enregistré votre secret

Quand Claude Code demande à lancer une commande shell, l'une des réponses est « Yes, and don't ask again » (oui, et ne plus demander). Claude Code écrit alors une règle de permission dans .claude/settings.local.json, dans votre projet. La règle peut reprendre la commande mot pour mot. Si la commande contenait un jeton ou un mot de passe, le fichier le contient aussi. Claude Code ajoute ce fichier à vos exclusions Git globales, mais cela ne protège qu'une seule machine : le .gitignore de votre projet ne le mentionne pas. Un clone, une copie ou un fichier créé à la main peut donc encore être commité.

Apiiro, une société de sécurité, est allée chercher dans les dépôts publics de GitHub. Sur 104 185 copies publiques de ce fichier, 1 122 contenaient un vrai secret, soit 1 379 secrets distincts au total. En ajoutant l'historique Git, le settings.json partagé et les transcriptions d'agent, elle compte 2 539 secrets dans 1 994 dépôts publics.

Le chiffre que je retiens est ailleurs. Deux scanners de secrets courants, TruffleHog et gitleaks, sont passés tous les deux à côté du secret dans 215 de ces 1 122 fichiers, environ un sur cinq. Apiiro n'a pas vérifié si les secrets fonctionnaient encore, mais une organisation touchée a confirmé que sa clé était active. Un membre de l'équipe Claude Code a répondu que les fichiers exposés avaient été créés à la main, pas par l'agent. Dans les deux cas, le fichier a fini dans Git.

Une approbation que vous enregistrez est une ligne de configuration. Traitez-la comme du code, puisque Git le fait.

2. Une extension de navigateur qui pilote Claude sur votre ordinateur

La deuxième affaire vient de Forever Security, qui l'appelle ThisBash. Claude Dispatch permet d'envoyer une tâche depuis claude.ai vers Claude Desktop sur votre ordinateur. Leur preuve de concept est une extension de navigateur autorisée à exécuter des scripts sur claude.ai. Elle ouvre une petite fenêtre en arrière-plan, trouve votre session de bureau associée, envoie quatre à Claude et clique elle-même sur « Allow » (autoriser) à chaque approbation. Dans leur démo, Claude installe un paquet npm dont le script d'installation ouvre la Calculatrice. Vous ne faites rien.

Lisez la condition avant de paniquer : il faut qu'une extension malveillante soit déjà installée et autorisée sur claude.ai. Les chercheurs disent avoir signalé la faille le 14 mai. Anthropic l'a jugée valide mais déjà connue en interne, puis a indiqué le 13 octobre viser la fin octobre pour retirer Dispatch. Depuis, des articles affirment que Dispatch est fermé aux nouveaux utilisateurs mais fonctionne encore pour les anciens. Anthropic n'a fait aucun commentaire public : ce calendrier est donc celui des chercheurs.

La leçon dépasse Dispatch. Un bouton de confirmation ne prouve le consentement que si une personne clique dessus. Dans une page qu'une extension contrôle, rien ne vous dit qui a cliqué.

3. Votre e-mail dans un en-tête

La troisième, j'en ai parlé vendredi : Claude Code mettait l'e-mail du compte connecté dans le User-Agent de requêtes vers d'autres sites. L'histoire complète, le correctif de la 2.1.317 et ce qu'il ne couvre pas sont dans Claude Code a divulgué votre e-mail.

Un seul point faible

Mettez les trois côte à côte et c'est la même histoire. Le modèle n'a pas cédé. L'approbation, si : un oui devenu configuration pour toujours, un oui donné par un script à votre place, et une question que personne n'a posée.

Ce qu'il faut vérifier maintenant

Trouvez le fichier. Dans chaque dépôt, lancez git ls-files | grep settings.local.json. S'il apparaît, lancez git rm --cached .claude/settings.local.json et ajoutez .claude/settings.local.json au .gitignore.
Changez tout ce qu'il a contenu. Supprimer le fichier ne nettoie ni l'historique Git, ni les forks, ni les clones. Vérifiez avec git log --all -p -- .claude/settings.local.json, et changez chaque clé que vous y trouvez.
Gardez les secrets hors des commandes. Laissez l'agent les lire dans une variable d'environnement. Approuvez des motifs comme Bash(npm run test *), pas une commande qui contient un jeton. Une ligne dans AGENTS.md suffit : ne jamais écrire la valeur d'un secret dans une commande.
Passez en revue vos extensions de navigateur. Supprimez celles que vous n'utilisez pas, et regardez de près celles qui peuvent « lire et modifier les données de tous les sites ». Travaillez dans un profil de navigateur avec seulement les extensions dont vous avez besoin.
Désactivez ce que vous n'utilisez pas. Les fonctions à distance et multi-appareils comme Dispatch doivent figurer sur la liste de ce que l'équipe active délibérément, pas par défaut.
Vérifiez la version. claude --version sur chaque machine, 2.1.317 ou plus récente, pour le correctif partiel sur l'e-mail.

Les deux premières vérifications, en commandes à coller dans chaque dépôt :

# 1. Le fichier est-il suivi par Git ?
git ls-files | grep settings.local.json
 
# 2. Ne plus le suivre et l'ignorer désormais
git rm --cached .claude/settings.local.json
echo ".claude/settings.local.json" >> .gitignore
 
# 3. Tout ce qu'il a contenu, dans chaque branche : changez ce que vous trouvez
git log --all -p -- .claude/settings.local.json
 
# 4. Version de Claude Code sur cette machine
claude --version

Rien de tout cela ne demande une équipe sécurité. Il faut quinze minutes, et quelqu'un qui s'en charge.

Sources

Apiiro, Coding Agents Are Leaking Your Secrets to GitHub, 5 novembre 2026
Gal Weizman, Forever Security, ThisBash Escape: Claude Dispatch Flaw Enables Browser Extensions RCE on the OS, 4 novembre 2026