Relire le code tiers
L'écosystème autour de Claude — skills, plugins, serveurs MCP, hooks, statuslines communautaires — est puissant précisément parce que ces éléments peuvent exécuter du code sur votre machine et accéder à vos données. C'est aussi pourquoi vous devriez les relire comme vous le feriez pour n'importe quelle dépendance.
Ce qui peut réellement s'exécuter
- Les hooks exécutent des commandes shell avec vos privilèges.
- Les serveurs MCP sont des programmes qui s'exécutent et peuvent lire/écrire des données et accéder au réseau.
- Les plugins peuvent regrouper tout ce qui précède.
- Les scripts de skill peuvent s'exécuter dans le cadre d'un skill.
En installer un, c'est plus proche d'« exécuter un logiciel » que de « lire un document ».
Une checklist de relecture rapide
Avant d'installer quelque chose que vous n'avez pas écrit :
- Lisez le code source. Quelles commandes ou quels appels réseau effectue-t-il ? Quelque chose dont il ne devrait pas avoir besoin ?
- Vérifiez les permissions/outils qu'il demande. Moindre privilège — méfiez-vous des accès trop larges.
- Examinez la provenance. Qui le maintient ? Stars, issues, activité récente, un véritable dépôt.
- Recherchez une exfiltration de secrets. Lit-il l'environnement ou les identifiants et les envoie-t-il quelque part ?
- Épinglez les versions et surveillez les mises à jour (un outil bénin peut devenir malveillant lors d'une mise à jour — risque de chaîne d'approvisionnement).
- Essayez-le d'abord dans un bac à sable si vous avez un doute.
Faites-vous aider par Claude — avec prudence
Claude lui-même excelle à résumer ce que fait un script et à signaler les appels suspects. Demandez-lui de relire le code — mais souvenez-vous qu'il peut lui aussi être trompé (une injection de prompt peut se cacher dans les commentaires de code), alors considérez sa relecture comme une source parmi d'autres, et non comme parole d'évangile, pour tout ce qui est sensible.
:::warning La confiance est un spectre, pas une case à cocher « C'est sur une marketplace » n'équivaut pas à « c'est sûr ». La commodité de l'installation en un clic est précisément le moment où une relecture rapide est la plus payante. :::