Claude Code a deviné Drupal grâce à l'email, même en safe-mode : l'auteur crée le skill /ccu

Vous demandez à un agent IA un conseil neutre et vous recevez une réponse taillée pour vous. Non pas parce que le modèle vous flatte, mais parce qu'il lit tout ce que vous lui avez laissé : instructions, skills, mémoire, et même votre adresse email. L'auteur de cette histoire a constaté par lui-même qu'éliminer ce bruit est plus difficile qu'il n'y paraît.

Drupal au lieu d'un conseil neutre

L'auteur a demandé à Claude Code quelle CMS il recommanderait. Réponse : Drupal. À la question « pourquoi », l'agent a honnêtement expliqué qu'il avait vu un skill maison pour Drupal et en avait conclu que l'utilisateur travaillait avec ce système. C'est logique : les fichiers CLAUDE.md personnels, les skills et les réglages transforment l'agent en écho de son propriétaire.

L'auteur a alors trouvé le flag --safe-mode, qui promet un lancement sans CLAUDE.md, skills, plugins, hooks ni serveurs MCP, avec le même abonnement. Il a reposé la question et obtenu de nouveau Drupal. Le raisonnement était cette fois le suivant : un email dans le contexte de l'agent, le domaine amazee.io, une entreprise connue pour son hébergement Drupal, donc l'utilisateur travaille dans un environnement orienté Drupal. La configuration avait disparu, mais l'identité restait.

Comment fonctionne /ccu

La solution a été le skill /ccu (Claude Code, Unbiased by me). L'auteur n'a pas besoin d'une session propre complète, seulement d'une vérification rapide de temps en temps : d'où le choix d'un skill. L'agent principal rédige le prompt, copie les fichiers nécessaires dans un dossier vide, y lance une instance propre et rapporte la réponse.

L'isolation est simple. Chaque lancement reçoit un répertoire temporaire neuf contenant deux dossiers : work pour les fichiers de la tâche et un home vide. Le lancement se déroule ensuite à peu près ainsi : passage dans work, puis env -i avec HOME pointant vers le dossier vide, PATH et le jeton OAuth, et enfin claude -p avec le modèle voulu et le prompt en entrée.

Le flag env -i démarre avec un environnement vide, donc rien ne fuite depuis le shell. Le jeton est le même que celui de la session en cours, le skill le récupère dans le Keychain de macOS. L'abonnement reste le même, mais l'email disparaît : le profil du compte se trouve dans .

claude.json, écrit lors de la connexion, et il est absent du home propre.

Il y a une subtilité concernant les droits. Le mode claude -p refuse tout outil nécessitant une confirmation, puisqu'il n'y a personne pour confirmer. L'agent principal énumère donc à l'avance les outils nécessaires dans work/.claude/settings.json, par exemple WebFetch, WebSearch et Bash(curl:*). Mais dans un dossier non approuvé, ces réglages sont ignorés, et /ccu marque work comme approuvé via hasTrustDialogAccepted dans le .claude.json du home.

Autre détail : après le lancement, le skill transforme le journal brut en un transcript.md lisible. L'agent principal ne reçoit que la réponse de l'instance propre, sans lire la transcription. L'humain peut la consulter lui-même pour vérifier que l'agent principal n'a pas influencé le résultat.

Pourquoi c'est utile en pratique

La conclusion dépasse la question des CMS. Tout conseil d'un agent disposant d'un contexte accumulé doit être considéré comme personnalisé. Si vous choisissez une stack, évaluez une architecture ou demandez la relecture d'un texte, la réponse sera biaisée par ce que l'agent sait de vous. L'auteur utilise aussi /ccu pour des relecteurs fictifs de son blog, comme un éditeur ou un collègue, qui ne doivent pas savoir qui est l'auteur.

Voici les enseignements pratiques :

• Ne considérez pas un « mode sûr » comme une garantie de pureté : vérifiez ce qui entre réellement dans le contexte, y compris les données du compte.
• Pour des comparaisons honnêtes, lancez le modèle dans un HOME séparé avec un environnement vide, au lieu de simplement désactiver les plugins.
• Si vous automatisez le lancement via claude -p, réfléchissez aux droits en amont et tenez compte de la règle de confiance des dossiers.

Il existe aussi des limites. La solution dépend du Keychain de macOS et d'un comportement précis de Claude Code, susceptible de changer. Le jeton appartient toujours à votre abonnement, il faut donc le manipuler avec précaution. Et même une instance propre voit l'OS, le shell, le chemin du dossier temporaire et la date : une réponse absolument neutre n'existe donc pas.

Et pour la CMS ? Dans l'instance propre, Claude Code a recommandé Payload. L'écart entre Drupal et Payload montre bien la part de vous-même que contiennent les réponses habituelles d'un agent.