Un utilisateur de Mac qui développe avec l'aide de Claude a récemment reçu une leçon de son propre ordinateur. Cette machine fonctionnait depuis longtemps au ralenti et chauffait de façon exagérée, mais il n'avait jamais trouvé la cause du problème, jusqu'à ce qu'il demande à Claude de l'aider à écrire une application de surveillance de température, pour voir ce que les capteurs rapportaient réellement. Résultat : l'outil de mesure de température n'était même pas encore rodé que l'IA avait déjà flairé le problème avant lui.
Le protagoniste de cette histoire est l'internaute Reddit UntilHEX. Son intention était toute simple : son ordinateur rame au point qu'il a décidé de demander à Claude d'écrire un petit programme de température capable de lire les données des capteurs, afin de déterminer l'origine des anomalies de performances. Le problème se situait justement dans les données de température — en lisant les valeurs, Claude a constaté qu'elles étaient manifestement et exagérément trop élevées, et n'a pas laissé passer cette anomalie : il a suivi le fil jusqu'à l'utilisation des ressources système. Il a rapidement donné l'alerte : ce Mac exécutait un programme de minage de cryptomonnaies non autorisé.
En suivant la piste indiquée par l'IA, la vérité s'est révélée assez criante. Un processus nommé XMRig dévorait en continu environ 1175 % des ressources CPU — en clair, il remplissait à peu près simultanément les 12 cœurs du CPU. On ne sait pas depuis combien de temps la machine subissait ce traitement, mais la température du processeur était montée jusqu'à 112 degrés Celsius, frôlant la limite thermique du système — voilà l'origine de tous ces ralentissements et de cette chaleur.
XMRig est en soi un logiciel de minage de Monero open source et légal, mais il a une mauvaise réputation : il est souvent glissé dans des chevaux de Troie par des auteurs malveillants, qui réquisitionnent en secret la puissance de calcul des victimes pour miner et gagner de l'argent. Sur cet ordinateur, il s'exécutait caché dans un répertoire temporaire, se connectait discrètement à un pool de minage nommé HashVault et en expédiait les gains de calcul.
Plus gênant encore : Claude a ensuite découvert qu'il ne s'agissait pas d'un simple processus d'arrière-plan, mais d'un élément qui persistait durablement via un élément de démarrage LaunchAgent déguisé. Autrement dit, même si l'utilisateur tuait manuellement le processus de minage, il ressuscitait tout seul, comme un locataire indésirable accroché au système, avec une discrétion redoutable.
Fait remarquable, Claude n'a pas dépassé ses droits. Il a d'abord expliqué à l'utilisateur, en détail, le fonctionnement du programme malveillant et les risques potentiels, avant de demander l'autorisation : arrêter l'élément de démarrage concerné, terminer le processus de minage et déplacer les fichiers suspects dans un répertoire de quarantaine — plutôt que de les supprimer définitivement, laissant le pouvoir de décision à l'humain. Ce n'est qu'après le feu vert d'UntilHEX que l'IA a participé au nettoyage. Selon son retour, l'ensemble du processus a été immédiatement efficace, la grande majorité du nettoyage ayant été réalisée avec l'aide de l'IA, un seul fichier bloqué par des problèmes de permissions nécessitant son intervention manuelle. Il a ensuite effectué une analyse supplémentaire avec Malwarebytes, confirmant que le système était totalement revenu à la normale.
Cette fausse alerte a enfin résolu la longue confusion d'UntilHEX : pourquoi son Mac fonctionnait-il si mal. Il suppose que l'infection provient très probablement de certaines versions piratées de plugins audio. Le milieu de la sécurité l'a depuis longtemps établi : de nombreux outils et plugins de production musicale piratés embarquent à l'occasion des programmes de minage comme XMRig, et la production musicale étant en elle-même une charge CPU élevée, les programmes malveillants mélangés dedans sont encore plus difficiles à détecter qu'à l'accoutumée.
En élargissant la perspective, cette histoire est une illustration vivante de l'expansion des frontières des capacités des agents d'IA. Un Claude rangé, occupé à écrire du code et à lire des températures, en franchissant un pas de plus vers « l'inspection autonome de l'état du système », a par hasard attrapé un miner malveillant caché au plus profond de l'appareil, rendant à l'utilisateur ses performances. Quand l'IA cesse d'être un simple outil passif qui répond aux questions et commence à surveiller activement si votre machine est « malade », la manière dont l'homme et son assistant cohabitent avance encore, discrètement, d'un cran.