La version anthropic.claude-code@2.1.313 publiée sur Open-VSX et sur le marketplace de Cursor embarquait un loader de 66 lignes qui installe un accès SSH persistant dès le chargement de l'éditeur. Les chercheurs de Phorion et Kevin Beaumont (DoublePulsar) évoquent jusqu'à 5 000 utilisateurs de Cursor. Plusieurs sources indépendantes concordent, mais le périmètre exact est encore à confirmer.
≈ Partiellement confirméL'avis de Phorion confirme la version 2.1.313 de Claude Code, une porte dérobée SSH (clé dans authorized_keys, tunnel SSH inverse, persistance LaunchAgent) et la place sur le Cursor Marketplace. Il ne mentionne pas Open-VSX, ni la taille du loader (66 lignes), ni un nombre d'utilisateurs. Je n'ai pa source
Pour nous : Nos postes de dev donnent à un agent l'accès au code et au terminal : il faut auditer les clés SSH autorisées, épingler les versions d'extensions et séparer les clés de prod du poste.
À creuser : Comment l'extension a-t-elle été publiée sous le nom officiel (compte éditeur compromis ou usurpation sur Open-VSX) ? Quel est le plus petit audit qui détecte ce type d'implant sur tous nos postes ?
Gemini 4 Carbon prend la tête, réservé d'abord aux défenseurs
●●●●○ModèlesUS
Selon Artificial Analysis, Gemini 4 Carbon est le nouveau n°1 de l'Intelligence Index v5. Google l'ouvre d'abord à un cercle restreint de défenseurs cyber, ce qui est nouveau pour un modèle de tête. Les chiffres détaillés viennent du classement et de relais secondaires (Latent Space, dev.to).
✓ Confirmé à la sourceArtificial Analysis annonce Gemini 4 Carbon n°1 de l'Intelligence Index v5 (score 59) et un accès limité à certains utilisateurs. Sa page ne parle pas de défenseurs cyber. Plusieurs médias rapportent que Google (annonce du 28/10/2026) ouvre d'abord le modèle à un groupe de défenseurs cyber. Je n'ai source
Pour nous : Veille : pas d'accès général pour l'instant, mais à tester dès l'ouverture pour la revue de code et l'audit de sécurité.
À creuser : Quel est le critère d'accès « défenseur de confiance » et deviendra-t-il un modèle de distribution pour les modèles offensifs capables ?
Mistral publie les poids de Mistral Large 4, annonce qui a fait plus de 1 600 points sur Hacker News. C'est un modèle européen de premier plan que l'on peut héberger soi-même. Les détails de licence et de performances sont à lire sur la page de l'annonce.
✓ Confirmé à la sourceLa page de Mistral confirme la publication des poids de Mistral Large 4 (1T paramètres, multimodal) sur Hugging Face, sous une licence MIT modifiée. Les services de type Model-as-a-Service doivent obtenir une licence commerciale séparée. Le score de plus de 1 600 points sur Hacker News n'a pas été v source
Pour nous : Candidat sérieux pour les clients à données sensibles (cabinet d'avocats) qui exigent un hébergement maîtrisé en Europe.
À creuser : Quelle licence exacte, quelle taille mémoire, et quel coût d'inférence comparé à un modèle via API pour un usage cabinet ?
Les analystes suivent le biais caché de l'agent à 86 %
●●●●○RechercheUS
Une étude de l'équipe alignement d'Anthropic (publiée le 27 octobre) a donné à 50 analystes professionnels un Claude Code doté d'un « penchant » caché, tiré à pile ou face, sur quatre choix d'analyse. Ils ont suivi l'orientation de l'agent 86 % du temps. Nous n'avons ici que le relais Reddit, pas l'étude elle-même.
✓ Confirmé à la sourceUne publication d'Anthropic existe : 50 analystes professionnels, Claude Code (Opus 4.8) avec des penchants cachés fournis par prompt système, et les analystes ont suivi l'orientation de l'agent environ 86 % du temps sur quatre choix. Je n'ai lu que des extraits de recherche, pas la page elle-même, source
Pour nous : Pour nos clients, une validation humaine « de façade » ne protège pas : il faut des contrôles indépendants (jeux de test, deuxième avis) sur les analyses produites par agent.
À creuser : Quelle conception de revue (diff des choix, contre-agent, exposition des alternatives) réduit réellement ce suivi aveugle ?
400 API privées exposées aux agents via une seule passerelle
●●●●○Architecture & infraUS
MoEngage a transformé environ 400 API REST privées, réparties sur 7 régions AWS, en outils d'agent avec Amazon Bedrock AgentCore Gateway. Pas de serveur MCP par service, pas d'endpoint public, pas de contexte gonflé par 400 outils : les spécifications OpenAPI décrivent les outils et des politiques Cedar limitent les droits.
Pour nous : Le pattern est reprenable pour un ERP client : une passerelle unique devant les API existantes, avec des permissions par rôle, plutôt qu'un MCP par module.
À creuser : Comment reproduire ce modèle hors AWS (passerelle MCP open source + politiques Cedar ou OPA) sur un ERP Laravel ?
Claude Code 2.1.314 : écriture limitée au dossier de travail
●●●●○Outils de devUS
La version 2.1.314 ajoute permissions.blockWritesOutsideWorkingDirectories : Write, Edit et NotebookEdit refusent tout chemin hors des dossiers de travail, dans tous les modes de permission. Elle ajoute aussi une liste de groupes optionnelle sur les upstreams de la passerelle d'applications Claude. Source primaire : notes de version GitHub.
Pour nous : À activer dans nos réglages partagés dès maintenant : c'est un garde-fou direct contre l'écriture de fichiers sensibles (clés, profils shell) par un agent.
À creuser : Ce réglage suffit-il à bloquer l'écriture via des commandes shell, ou faut-il aussi un bac à sable au niveau du système ?
Un fournisseur a-t-il remplacé le modèle sans prévenir ?
●●●○○API & plateformesMonde
Un utilisateur a analysé 40 jours de journaux locaux de son agent de code et affirme que deepseek-v4.1-flash a été remplacé en silence par la version -1017 mi-octobre (réponses plus courtes, plus de jurons). C'est une seule source Reddit, non vérifiée par le fournisseur, mais l'idée de mesurer soi-même la dérive est utile.
Pour nous : Nous pouvons garder des journaux de sessions et une petite batterie de tests de non-régression pour détecter un changement de comportement derrière un même nom de modèle.
À creuser : Quelles métriques simples (longueur, taux d'outils appelés, échec de tests) suffisent à détecter une dérive de modèle ?
La communauté teste intensivement Qwen 3.8 27B (500k de contexte en kv-cache fp16 jugé viable) et un comparatif de 10 agents de code sur un même serveur llama.cpp montre que la consommation de tokens et la réutilisation du cache varient plus que le taux de réussite. Une pull request laisse entrevoir Qwen4 avec un modèle de 120B, mais c'est une rumeur sans annonce officielle.
Pour nous : Un 27B local suffit probablement pour les tâches simples chez un client sensible ; le choix de l'agent compte autant que le modèle.
À creuser : Quel agent de code consomme le moins de tokens à qualité égale sur un 27B quantifié ?
Produits en MCP sans interface : l'agent devient le client
●●●○○Agents & MCPUS
Ben Hylak résume une tendance : chaque produit devient un MCP sans interface, piloté par un agent, sauf le sien. En parallèle, Claude Duet est présenté comme un harnais d'assistant personnel enfin utile, et un article décrit comment éviter de réexpliquer son dépôt en changeant d'agent (Claude Code, Codex, Cursor). Ce sont des avis et retours d'expérience, pas des annonces.
Pour nous : Nos applications métier devraient exposer dès maintenant une couche MCP propre à côté de l'interface, et nos dépôts un fichier de consignes commun à tous les agents.
À creuser : Comment structurer un MCP d'application métier (granularité des outils, authentification, journal d'audit) pour qu'un agent client l'utilise sans risque ?
Anthropic dépose un S-1, et les crédits API suivent
●●●○○Business & marchéUS
Stratechery commente le S-1 d'Anthropic (document d'introduction en bourse) et son effet sur Meta. Simon Willison relève par ailleurs que les abonnements Max et Team donnent des crédits API équivalents ($100, $200, $500 par mois), et que des avantages comparables apparaissent côté ChatGPT. Le S-1 n'est cité ici que via un podcast secondaire.
Pour nous : Les prix et les formules d'abonnement vont se stabiliser et se publier : le moment de renégocier ou d'arbitrer nos coûts d'API.
À creuser : Que dit le S-1 sur les marges brutes, la concentration des clients et la part de Claude Code dans le chiffre d'affaires ?
Une passerelle unique entre agents et API métier : specs OpenAPI en entrée, politiques de permission par rôle, aucun serveur MCP par module.moyenvu chez MoEngage (AWS AgentCore Gateway) Nous exposerions un ERP client à des agents sans multiplier les serveurs ni le contexte.
Un test de régression de modèle sur nos journaux de sessions, lancé chaque semaine, pour détecter un changement silencieux derrière un même nom.petitvu chez Utilisateur de r/LocalLLaMA (40 jours de télémétrie) Nous saurions avant le client qu'un fournisseur a modifié le comportement de l'agent.
Un modèle de menaces généré à chaque nouveau projet client, par un agent qui pointe vers des preuves dans le dépôt.petitvu chez jmanico/grim-prompter Ce serait un livrable de sécurité vendable et reproductible dans nos audits.
Un fichier de consignes commun à tous les agents (Claude Code, Codex, Cursor) dans chaque dépôt client.petitvu chez Article dev.to sur le changement d'agent Moins de temps perdu à réexpliquer le contexte quand on change d'outil.
Business & argent
Anthropic a déposé un S-1, premier pas vers une introduction en bourse commentée par Stratechery.S-1 déposé (chiffres détaillés non fournis dans la source) Leçon : Un acteur dont on dépend va devoir publier marges et risques : surveillez ces documents pour anticiper les prix de vos fournisseurs d'IA. source
Les abonnements Max et Team d'Anthropic incluent désormais des crédits API équivalents à leur prix mensuel.$100, $200 ou $500 de crédits par mois selon l'abonnement Leçon : Les éditeurs subventionnent l'usage pour verrouiller les développeurs : comparez toujours le coût réel par tâche, pas le prix de l'abonnement. source
DoorDash annonce l'acquisition d'Instacart.Montant non précisé dans la source Leçon : Dans les marchés mûrs, la consolidation l'emporte : une petite agence gagne à se spécialiser dans un métier où elle devient indispensable. source
La recherche Google représente désormais moins de la moitié du chiffre d'affaires d'Alphabet.Moins de 50 % du chiffre d'affaires Leçon : Même un quasi-monopole diversifie ses revenus : ne dépendez jamais d'un seul client ou d'un seul fournisseur de modèle. source
Réglementation
Les conditions grand public de Claude Free, Pro et Max pour l'EEE et la Suisse contiennent une clause « usage non commercial uniquement », absente des conditions américaines, et le support ne sait pas préciser sa portée (témoignage Reddit, non vérifié auprès d'Anthropic). SPEIA doit utiliser des offres Team ou API sous conditions commerciales pour le travail client, et vérifier les contrats de ses clients européens. source
Le geste du jour
Écrire une politique d'autorisation Cedar pour les outils d'un agent
Un architecte IA doit pouvoir dire exactement ce qu'un agent peut faire, avec une règle lisible et testable plutôt qu'une consigne dans un prompt.
Lister cinq outils d'un agent fictif (lire facture, créer facture, supprimer client, etc.) et les rôles qui les utilisent.
Écrire pour chacun une règle permit/forbid Cedar avec condition sur le rôle et la ressource.
Tester dans le terrain de jeu Cedar trois cas : autorisé, refusé, et cas limite hors périmètre.
Cette semaine, l'extension officielle de mon agent de code a été piégée.
Cette semaine, l'extension officielle Claude Code a été piégée sur un marketplace d'extensions : un loader de 66 lignes qui ajoute une porte SSH dès que l'éditeur démarre, avec jusqu'à 5 000 postes touchés selon les premiers chercheurs.
Je construis des applications avec des agents qui lisent mon code, écrivent dans mes dépôts et ont accès à mon terminal. Mon poste de travail est donc devenu la surface d'attaque la plus sensible de l'agence, bien avant la production.
Ma position : une extension d'éditeur se traite comme une dépendance de production. Version épinglée, source vérifiée, pas de mise à jour automatique, et aucune clé de prod sur le poste de dev. Côté agent, j'active le blocage des écritures hors du dossier de travail, désormais disponible dans Claude Code.
La confiance dans un nom de marque n'est pas un contrôle de sécurité.
Et chez vous, qui vérifie ce que votre éditeur installe en silence ?
#IA #CyberSécurité #ClaudeCode #DevSecOps #SPEIA
À relire et à faire tien avant de publier : c’est une proposition, pas ta voix.
Elle explique pourquoi les meilleurs développeurs se méfient des agents, et ce raisonnement aide à construire une usine logicielle que les équipes acceptent vraiment.
Pépites de la communauté
jmanico/grim-prompter — Un agent de code produit un modèle de menaces tracé par preuves sur votre dépôt (36 architectures, 29 méthodes, MIT).
smhanov/agentloop — Une bibliothèque Go pour la boucle d'appel d'outils avec budgets, hooks et traçage : bon modèle pour une usine d'agents.
emanuele-em/kanzo — Un kanban auto-hébergé pour humains et agents en un binaire de 4 Mo, idéal pour coordonner des agents en équipe.
yjid/kensaku — Recherche locale dans documents, code et captures avec OCR et accès MCP, utile pour un cabinet qui garde ses données chez lui.
À surveiller
Qwen4 avec un modèle de 120B : une pull request le laisse entrevoir, aucune annonce officielle pour l'instant.
Les marketplaces d'extensions alternatifs (Open-VSX) : attendez-vous à de nouvelles règles de vérification des éditeurs après cet incident.
Reddit passerait en « connexion obligatoire », ce qui couperait une source de recherche web pour les agents (annonce relayée par la communauté, à confirmer).