Claude version de bureau accusée de « logiciel espion » ! Modification des paramètres d'accès sans consentement, soupçonnée de violer la loi de l'Union européenne

Les chercheurs accusent la version de bureau de Claude d’avoir implanté des profils de configuration dans plusieurs navigateurs sans consentement, suscitant des controverses sur les « logiciels espions » et des préoccupations concernant la violation des lois européennes sur la vie privée. Les opinions sont divisées, des experts appelant à une plus grande transparence de la part des autorités pour garantir la sécurité informatique.

Les chercheurs en sécurité informatique accusent Claude version bureau d’être un « logiciel espion »

Avez-vous déjà installé la version de bureau de Claude ? Récemment, le chercheur en sécurité Alexander Hanff a publié un message indiquant que l’application de bureau de Claude, sans le consentement de l’utilisateur, installait discrètement des profils de configuration pour la gestion native des messages dans le navigateur sur l’ordinateur.

Hanff, en vérifiant un Mac, a découvert que le programme écrivait dans des dossiers de sept navigateurs basés sur Chromium, dont Brave, Google Chrome, Edge, Arc, Vivaldi et Opera, en y insérant des profils de configuration spécifiques, opération qui couvrait même des navigateurs non encore installés par l’utilisateur.

Il souligne que cette opération est configurée pour être cachée, sans mécanisme de consentement, et difficile à supprimer. Le programme autorise par défaut trois identifiants d’extensions de navigateur non encore installées, et la dénomination des fichiers ne précise pas clairement l’étendue de l’autorisation, en plus d’autoriser à l’avance l’utilisation de fichiers exécutables natifs pour des navigateurs qui n’existent pas encore.

Si une extension est déclenchée, le fichier d’assistance peut lire l’état de connexion du navigateur, le contenu des pages web, remplir automatiquement des formulaires et capturer des captures d’écran.

Source : article d’Alexander Hanff, chercheurs en sécurité accusant la version de bureau de Claude Code d’être un « logiciel espion »

Hanff indique que, selon ses données de sécurité internes d’Anthropic, le taux de réussite d’attaques par injection de prompts sur l’extension Chrome de Claude, sans mesures de défense, atteint 23,6 %, contre 11,2 % avec les protections existantes.

Dans le cas où un pont préinstallé sur l’ordinateur portable de l’utilisateur serait exploité, une attaque réussie d’injection de prompts sur cette extension offrirait une voie d’intrusion, permettant via l’extension et le pont d’activer un fichier d’assistance fonctionnant en dehors du sandbox du navigateur avec les privilèges de l’utilisateur.

Il accuse que le comportement de la version de bureau de Claude ressemble à un « mode sombre » (design frauduleux) et à un « logiciel espion », ce qui viole gravement la vie privée des utilisateurs en franchissant la frontière de la confiance.

Possibilité de violation du droit européen ?

Hanff, avec Noah M. Kenney, fondateur de la société de conseil numérique Digital 520, souligne que la version de bureau de Claude pourrait enfreindre l’article 5, paragraphe 3, de la directive européenne sur la vie privée électronique, qui exige que les fournisseurs de services fournissent des informations claires et obtiennent le consentement des utilisateurs.

Hanff pense qu’en dehors de l’impact juridique, cette entreprise, réputée pour sa sécurité et sa confidentialité, a publié des outils qui semblent compromettre ses propres principes, ce qui pourrait gravement nuire à sa réputation et faire perdre la confiance des utilisateurs.

Cependant, Kenney reste réservé quant à l’utilisation du terme « logiciel espion » critiqué par Hanff, précisant que le programme ne vole pas activement des données, mais il reconnaît que l’interprétation des exemptions nécessaires par les régulateurs européens est très stricte. Installer des fonctionnalités d’intégration dans plusieurs applications sans consentement explicite comporte un risque élevé de sanctions réglementaires.

La version de bureau de Claude est-elle un logiciel espion ? Opinions divergentes

Le forum d’ingénieurs Hacker News a des avis partagés : certains ingénieurs ont confirmé, après tests, une installation non autorisée, et sont mécontents de la modification non autorisée des paramètres d’autres logiciels indépendants, estimant que cela détruit la confiance fondamentale entre logiciels.

D’autres internautes pensent que, cela relève simplement du fonctionnement standard du mécanisme natif de gestion des messages, et qu’il est exagéré de qualifier le programme de logiciel espion tant qu’aucune preuve concrète de fuite de données n’est apportée.

L’ancien responsable technique d’Apple, Bogdan Grigorescu, a également appelé sur LinkedIn à exécuter ces outils d’IA générative dans une machine virtuelle ou un appareil dédié, afin d’éviter de les installer sur l’ordinateur principal traitant des finances ou des données sensibles.

L’expert en sécurité Jason Packer souligne que le fait qu’Anthropic ait pré-autorisé des identifiants d’extensions non encore officiellement disponibles dans la boutique d’applications est une pratique extrêmement mauvaise en matière de sécurité informatique.

Anthropic n’a pas encore répondu, la question de l’éthique de Claude mise à l’épreuve

Malwarebytes, spécialiste en antivirus et en détection de logiciels malveillants pour Mac, estime que la gestion native des messages est une mécanique standard et légitime de Chromium, mais que le fait que Claude version bureau écrive des profils dans plusieurs chemins de navigateurs sans en informer clairement l’utilisateur augmente indubitablement la surface d’attaque de l’ordinateur.

Malwarebytes ajoute que, puisque Claude nécessite une extension spécifique pour fonctionner pleinement, il serait injuste de le qualifier de logiciel espion. Cependant, Anthropic pourrait adopter une approche plus transparente, en informant clairement l’utilisateur des modifications apportées au système et en lui permettant d’évaluer les risques avant d’accepter l’installation.

Au moment de la publication de ces rapports, Anthropic n’a encore publié aucune déclaration officielle. « The Register » et Malwarebytes ont tous deux sollicité un commentaire auprès d’Anthropic, sans réponse à ce jour.