La nouvelle fonctionnalité d'animal de compagnie de Claude piratée en une journée : la communauté publie un outil de retouche open-source

Selon le suivi de 1M AI News, quelques heures seulement après le lancement de la nouvelle fonctionnalité « animal de compagnie »/système de binôme de Claude Code, la communauté des développeurs a découvert une méthode de re-dessin (re-draw) à partir de code source divulgué. Des outils et tutoriels open-source se sont déjà propagés sur des plateformes comme Linux.do, V2EX et GitHub. Il existe au moins deux méthodes de re-dessin. L’une vise une valeur de sel fixe dans l’algorithme de génération du pet, codée en dur comme une chaîne de 15 caractères dans le produit compilé de Claude Code. En la remplaçant par une chaîne de même longueur, on peut modifier la graine aléatoire, puis retrouver la valeur correspondante pour le pet cible par énumération exhaustive (brute force). L’autre méthode exploite des différences dans les chemins d’authentification : lorsque les utilisateurs abonnés se connectent normalement, le serveur émet un accountUuid comme graine du pet, qui ne peut pas être modifié. En revanche, lorsqu’ils s’authentifient via des variables d’environnement, cette valeur n’est pas écrite dans la configuration locale, ce qui permet au système de retomber sur le champ userID modifiable. La méthode consistant à altérer le sel est la plus faible, car elle sera écrasée dans la prochaine mise à jour de Claude Code. Le fait de modifier aussi le userID a une durée de vie limitée pour les utilisateurs abonnés : Anthropic peut simplement ajouter une logique pour écrire l’accountUuid depuis le chemin des variables d’environnement afin de le bloquer. Les utilisateurs API (qui s’authentifient avec leur propre clé API) n’ont pas d’accountUuid, ce qui leur permet de modifier directement le userID, offrant une fenêtre d’opportunité plus longue ; mais Anthropic peut aussi le bloquer en générant un identifiant stable via le hachage de la clé API. Les données de squelette (skeleton) ne sont pas stockées localement : elles sont calculées en temps réel à chaque démarrage, ce qui signifie que tout correctif côté serveur peut prendre effet immédiatement. De plus, le userID n’est pas uniquement utilisé pour le système de pet. Le code source divulgué indique que le reporting de télémétrie et les groupes de tests A/B lisent également cette valeur, et la modifier pourrait entraîner des anomalies de fonctionnalités expérimentales ou une fragmentation des données.