Deux fuites en cinq jours : la crise de sécurité d'Anthropic
Erreur CMS le 26 mars, erreur de source map npm le 31 — deux expositions de données majeures en moins d'une semaine interrogent la sécurité opérationnelle d'Anthropic.
En bref : Entre le 26 et le 31 mars 2026, Anthropic a subi deux expositions de données via deux systèmes entièrement différents. La première : une erreur CMS exposant environ 3 000 fichiers, dont le brouillon de Claude Mythos. La seconde : une erreur d’empaquetage npm diffusant un source map de 59,8 Mo dans Claude Code v2.1.88, exposant 512 000 lignes de TypeScript. Les deux ont été attribuées à une « erreur humaine ». Les deux reflètent le même problème de fond : des gardes-fous insuffisants dans les pipelines de déploiement. Pour une entreprise qui prépare une introduction en bourse de plus de 60 milliards et construit une IA décrite comme « très en avance en matière de capacités cyber », le pattern est difficile à ignorer.
Chronologie : deux fuites en une semaine
26 mars — Erreur CMS (Fuite 1)
Roy Paz et Alexandre Pauwels découvrent l’exposition. ~3 000 fichiers accessibles sans authentification. Indice mondial de cybersécurité : -4,2 % en 24 h, ~400 milliards évaporés.
31 mars — Source map npm (Fuite 2)
Chaofan Shou découvre le source map de 59,8 Mo dans le paquet npm v2.1.88. Bucket R2 public. ~1 900 fichiers, 512 000+ lignes. Plus de 41 500 forks GitHub. 44 feature flags exposés.
| Fuite 1 (26 mars) | Fuite 2 (31 mars) | |
|---|---|---|
| Vecteur | CMS mal configuré | Source map dans le paquet npm |
| Portée | ~3 000 fichiers | ~1 900 fichiers, 512 000 lignes |
| Exposition clé | Détails de Claude Mythos | Code complet de Claude Code + 44 flags |
| Impact marché | 400 Md$ de ventes cybersécurité | Dommage réputationnel ; 41 500+ forks |
| Intervalle | — | 5 jours |
Cause racine des deux fuites
Systèmes différents, mécanismes différents, même pattern racine.
Fuite 1 : Le CMS stockait les brouillons dans un magasin indexable et public. Pas de porte d’authentification.
Fuite 2 : Le pipeline de build n’a pas exclu le source map. Ce source map référençait un bucket sans contrôle d’accès. L’un sans l’autre n’aurait pas causé l’exposition complète. Ensemble, si.
Anthropic a classé les deux comme « erreur humaine ». Techniquement exact, mais incomplet. La question pertinente n’est pas si les humains font des erreurs, mais si des systèmes existent pour les intercepter avant la production.
L’ironie
Le brouillon Mythos décrivait le modèle comme « très en avance sur tout autre modèle d’IA en capacités cyber ». Cinq jours après que cette description est devenue publique par une erreur CMS évitable, tout le code source de Claude Code est devenu public par une erreur npm tout aussi évitable.
Fortune : « deuxième faille de sécurité majeure en cinq jours ».
La communauté sécurité a noté que les mesures préventives — validation d’accès CMS, exclusion de source map, contrôle de taille npm — sont des pratiques standard. Anthropic n’avait pas besoin de sa propre IA pour empêcher ces fuites. Une checklist suffisait.
L’impact sur l’introduction en bourse
Anthropic vise le Q4 2026, probablement octobre. Valorisation cible : 60+ milliards. La levée de février 2026 valorisait l’entreprise à ~380 milliards sur 30 milliards levés.
Deux expositions en cinq jours créent un problème narratif qualitativement différent d’un incident isolé. Un peut être présenté comme une erreur isolée. Deux en moins d’une semaine par des systèmes différents suggèrent un défaut systémique.
La proposition de valeur repose sur la confiance : confiance dans la capacité à construire la meilleure IA et à la déployer de manière responsable. La seconde moitié est plus difficile à soutenir quand les pipelines de base échouent deux fois en une semaine.
Reconstruire la confiance
Post-mortem public des deux incidents. Ce qui a mal tourné, causes racines, changements implémentés.
Audit de sécurité indépendant des pipelines de déploiement et de publication.
Améliorations de processus mesurables. Vérification automatique d’accessibilité publique, exclusion obligatoire des source maps, validation de taille, portes de revue sécurité.
La capacité technique n’est pas en question. C’est la maturité opérationnelle qui est interrogée.
Pour aller plus loin
- La fuite Claude Mythos — Reconstitution de l’incident CMS
- Fuite du code de Claude Code — Analyse de l’exposition npm
- Impact sur l’IPO — Conséquences pour l’entrée en bourse
- Chronologie — Les deux incidents heure par heure