Claude Code : un raccourci qui expose des mots de passe sur GitHub

Un raccourci de Claude Code qui a laissé fuiter des milliers de mots de passe sur GitHub, Claude qui s’enrichit en trader sur un marché de jeu vidéo, Meta qui transforme Muse en fabrique d’applications et le conseil d’administration de Nvidia qui enquête sur son propre patron : voici l’essentiel de l’actualité de l’intelligence artificielle du 9 novembre 2026.

Claude Code : un raccourci qui expose des mots de passe sur GitHub

Lorsque Claude Code demande l’autorisation de lancer une commande, on peut répondre « Oui, et ne plus demander ». Ce choix est mémorisé dans un fichier du projet, .claude/settings.local.json. Problème : si la commande autorisée contenait un mot de passe ou une clé, celui-ci est recopié tel quel dans le fichier. Et quand le projet est publié sur GitHub, n’importe qui peut le lire.

La société de sécurité Apiiro a cherché ce fichier dans les projets publics de GitHub :

• 104 185 copies du fichier se trouvent dans des projets publics ;
• 1 122 d’entre elles contiennent au moins un mot de passe, une clé ou un jeton, écrit en clair ;
• parmi eux, 379 mots de passe de bases de données et 23 clés AWS ;
• en examinant aussi les anciennes versions des fichiers, Apiiro a relevé 2 539 secrets répartis dans 1 994 projets et 63 organisations ;
• l’un d’eux était le mot de passe administrateur d’une base de dossiers médicaux.

Boris Cherny, responsable de Claude Code chez Anthropic, a répondu ce week-end que l’équipe cherche comment empêcher ce problème, notamment avec une détection automatique des secrets.

En attendant, trois réflexes simples : vérifier que .claude/settings.local.json figure bien dans le fichier .gitignore de vos projets, relire ce qu’il contient, et changer immédiatement tout mot de passe ou toute clé qui aurait pu être publié. Supprimer le fichier ne suffit pas : il reste visible dans l’historique du dépôt. C’est le type de contrôle que nous menons dans notre accompagnement en cybersécurité.

Claude devient trader

Anthropic a confié à Claude 3 milliards de pièces d’or d’EVE Online, un jeu vidéo spatial doté d’une véritable économie entre joueurs, avec une consigne : faire le plus de profit possible sur une rediffusion du marché réel du jeu.

Et Claude s’est enrichi exactement comme le font les traders humains : il achetait à bas prix aux joueurs pressés de vendre, puis revendait aux joueurs pressés d’acheter, souvent dans la même journée.

• 43 % de gain moyen sur deux semaines pour Fable 5, alors que la meilleure d’une vingtaine de règles de trading simples atteignait à peine l’équilibre ;
• trois fois plus de gains avec Fable 5 qu’avec Opus 4.6, sorti seulement six mois plus tôt ;
• 8 à 13 % de profit par transaction, répétés sur des centaines d’ordres par jour ;
• 85 % de son argent restait investi, bien plus qu’avec les anciens modèles, ce qui l’exposerait davantage en cas de krach ;
• une simulation sur deux restait gagnante quand Claude devait deviner l’évolution des prix.

Votre prochain trader n’aura peut-être plus besoin de pause café.

Muse transforme vos idées en applications

Muse, l’assistant IA de Meta, peut désormais créer une mini-application à partir d’une simple description, directement dans l’application. Aucune ligne de code à écrire.

Meta appelle ces applications des « espaces » : vous décrivez une idée, Muse la construit, et vous continuez à la modifier en l’utilisant. Quelques exemples donnés par Meta :

• un tableau de bord scolaire qui repère les événements des enfants dans les e-mails de l’école et les ajoute à l’agenda ;
• un espace shopping qui rassemble idées cadeaux, listes d’envies issues d’Instagram et annonces Marketplace ;
• un organisateur de mariage avec la liste des invités, les factures des prestataires et les tâches à faire ;
• un suivi de commandes pour les petites entreprises, avec les nouvelles commandes, les messages clients et les colis à expédier dans la journée ;
• un quiz sur vos films, votre musique ou votre équipe de sport préférés.

Les espaces sont disponibles partout où Muse l’est, et Meta travaille à la possibilité de les partager. Quelle application créeriez-vous en premier ?

Nvidia ouvre une enquête sur son PDG

« Vous méritez mieux de ma part. » C’est ce que Jensen Huang, PDG de Nvidia, a déclaré à ses salariés, à son conseil d’administration et à ses actionnaires, après des articles selon lesquels une femme de son entourage serait soupçonnée par le renseignement américain d’espionner pour le compte de la Chine.

Le conseil d’administration de Nvidia a ouvert une enquête indépendante sur son propre PDG :

• un comité d’administrateurs indépendants, assisté d’avocats extérieurs, mènera l’enquête ;
• il examinera « toutes les informations disponibles » sur les articles selon lesquels Jensen Huang aurait été la cible d’une tentative d’espionnage étranger ;
• Nvidia affirme n’avoir « aucune raison de penser » que la sécurité nationale ou ses secrets ont été compromis ;
• la sécurité nationale et économique des États-Unis est jugée « primordiale » pour Nvidia et ses actionnaires ;
• Jensen Huang « soutient pleinement » cette enquête, et le conseil dit lui garder sa confiance, ainsi qu’à son équipe de direction.

Le conseil n’a précisé ni la composition du comité ni la durée de l’enquête, mais promet de communiquer au fil de son avancement.

L’outil du jour : le détecteur d’images IA de Phrasly

Le nouveau détecteur d’images de Phrasly indique si une photo est réelle ou générée par une IA, gratuitement et sans inscription. Vous déposez une image et obtenez un verdict, un score de confiance et une carte de chaleur qui montre les zones générées ou retouchées. Il reconnaît les images créées avec ChatGPT, Gemini, Midjourney, Grok et d’autres, et explique son verdict en termes simples. Phrasly affirme ne pas conserver les images analysées.

Pour l’essayer :

• rendez-vous sur le détecteur d’images IA de Phrasly, sans créer de compte ;
• glissez une photo, collez-la avec Ctrl+V ou indiquez un lien ;
• consultez la carte de chaleur pour voir quelles zones semblent générées ;
• utilisez de préférence le fichier d’origine : une capture d’écran compressée donne des résultats moins fiables.

Pour qui : tous ceux qui se sont déjà demandé si une photo virale était vraie. Gardez toutefois en tête qu’un tel outil donne une probabilité, pas une preuve.

Les autres actualités à ne pas manquer

• Claude a effacé les notes de cours d’un professeur de droit pendant sa pause déjeuner : chargé de corriger quelques numéros de page, il a supprimé un an de notes et le plan du cours, avant de lui répondre « Vous avez raison d’être en colère », un rappel utile de l’importance des sauvegardes ;
• OpenAI a levé 11 milliards de dollars sur la base d’une valorisation de 1 250 milliards : l’entreprise visait, selon la presse, 30 milliards à plus de 1 400 milliards de valorisation le mois dernier, et le tour de table reste ouvert ;
• ChatGPT Dots peut désormais récupérer les codes de connexion dans vos e-mails et se connecter à votre place : quand un site demande un code de vérification, l’agent d’OpenAI le trouve dans votre boîte de réception et termine lui-même la connexion ;
• Anthropic a dépensé 3,4 milliards de dollars en générateurs au gaz pour ses centres de données : 1,7 gigawatt de puissance, le plus gros achat connu de ce type pour un laboratoire d’IA.