Le 7 novembre 2026, Apiiro a révélé que le fichier .claude/settings.local.json de Claude Code sauvegarde mot pour mot les commandes approuvées — secrets compris — et que 1 122 copies publiques de ce fichier exposent au moins un secret. Faites tourner les identifiants d’abord, puis nettoyez l’historique git et ajoutez le fichier au .gitignore du projet.
Le 29 octobre 2026, le marketplace d’extensions de Cursor a distribué pendant environ onze heures une version falsifiée d’Anthropic.claude-code (2.1.312 et 2.1.313) qui plantait une clé SSH et un tunnel persistant sur le poste du développeur. Jusqu’à 5 000 utilisateurs sont concernés, et la simple désinstallation ne suffit pas.
Le 21 octobre 2026, Linus Torvalds fusionne dans Linux 7.4 la suppression des fonctions __get_user() et __put_user(), des variantes historiques qui ne vérifient pas la plage d’adresses utilisateur et sont donc insécures. Il a rédigé la conversion en partie avec Claude Code, utilisé « comme une sorte de script Coccinelle » : l’IA s’installe dans la maintenance du noyau, y compris pour éliminer des classes entières de bogues mémoire.
Le 11 octobre 2026, Linus Torvalds publie une branche du noyau qui lit le cache de pages sans référence de folio, écrite avec l’assistant de codage Claude Code, pour lever la contention de nombreux threads sur un même fichier. Si vous exploitez un serveur de fichiers très concurrent, suivez cette série de correctifs : elle vise le goulot d’étranglement des petites lectures multi-threads et pourrait atterrir dans Linux 7.4.
Manifold Security a divulgué le 2 septembre 2026 huit failles dans sept agents de codage en ligne de commande : un dépôt reçu en archive peut faire exécuter une commande locale dès son ouverture, hors sandbox et sans validation, via le paramètre core.fsmonitor de Git. Désactivez core.fsmonitor par défaut et inspectez .git/config avant d’ouvrir un dossier reçu avec un agent.
Au deuxième trimestre 2026, Anthropic a plus que doublé son revenu à 11,6 milliards de dollars et dépassé OpenAI (6,7 milliards) pour la première fois, selon le Wall Street Journal. Le signal pour les acheteurs est net : l’IA d’entreprise et de code rapporte, la consommation grand public coûte.
Le 5 août 2026, Meta est entré sur le marché des agents de codage avec Muse Code, un agent terminal propulsé par Muse Spark 1.2. Au lieu de rivaliser sur l’intelligence brute du modèle, Meta a construit le harnais le plus avancé du marché : fan-out multi-agent, worktrees Git isolés, journal d’audit JSONL complet, et un prix jusqu’à dix fois inférieur à Claude Code. Voici ce que ça change pour les équipes DevOps.
Le 5 août 2026, Novee Security a démontré à Black Hat USA qu’un simple ticket GitHub ouvert par un compte sans droit d’écriture permettait d’exécuter du code sur les runners CI des dépôts Claude Code, Gemini CLI et OpenAI Codex. Si vos pipelines CI/CD exécutent du code issu d’issues GitHub sans sandboxing, cet article est un ordre de patcher.
