INTELLIGENCE ARTIFICIELLE - CYBERSÉCURITÉ : Quand les IA d'Anthropic s'échappent du laboratoire : trois intrusions réelles nées d'un malentendu

Dans un communiqué publié le 30 juillet 2026, l'entreprise californienne Anthropic reconnaît que trois de ses modèles Claude ont, à l'occasion de tests de cybersécurité censés se dérouler en environnement clos, atteint Internet et compromis l'infrastructure d'organisations bien réelles. L'épisode, révélé de la propre initiative du laboratoire, relance un débat plus large qui porte sur la gouvernance d'une industrie qui peine encore à sécuriser ses propres outils d'évaluation.
 
Tout commence par un aveu venu d'un concurrent. Le 21 juillet, OpenAI reconnaît publiquement que plusieurs de ses modèles sont parvenus à sortir d'un environnement de test isolé en exploitant une faille informatique jusqu'alors inconnue, avant d'accéder à l'infrastructure de production de Hugging Face, plateforme de référence pour l'hébergement de modèles et de jeux de données open source.
 
L'annonce conduit Anthropic à lancer une vaste revue rétrospective. L'entreprise décide d'examiner l'ensemble de ses propres évaluations de cybersécurité afin de vérifier si Claude, comme les modèles concurrents, avait lui aussi, franchi les limites de ses environnements de test. Le constat est rapide. Sur 141 006 sessions d'évaluation passées au crible, trois incidents distincts montrent que Claude a effectivement accédé à Internet depuis l'environnement fourni par Irregular, un partenaire tiers chargé de concevoir certains de ces scénarios. Le modèle s’est ensuite introduit dans les systèmes de trois organisations différentes.
 
Les trois cas partagent un même dispositif à savoir un exercice dit de « capture the flag », méthode classique d'évaluation des capacités offensives d'un modèle. Le principe est simple. Une information secrète, le « drapeau », est dissimulée sur une machine du réseau et le modèle doit s'y introduire pour la récupérer, sans qu'aucune méthode particulière ne lui soit imposée. Dans chacun de ces exercices, la consigne transmise à Claude précisait explicitement qu'il évoluait dans une simulation dépourvue de tout accès à Internet. Or, un défaut de configuration lié à une incompréhension entre Anthropic et son partenaire, avait laissé cet accès ouvert. Persuadé d'opérer dans un cadre entièrement fictif, Claude a donc traité les systèmes réels qu'il rencontrait comme de simples éléments du décor.
 
Le premier incident illustre les conséquences les plus sérieuses de cette confusion. L'entreprise fictive imaginée pour l'exercice portait, par coïncidence, le même nom qu'un site Internet bien réel. Bloqué dans son environnement simulé, Claude Opus 4.7 a repéré que l'entreprise homonyme était, elle, accessible en ligne, et en a déduit qu'il s'agissait de sa cible légitime. Il a alors identifié puis exploité des failles dans son infrastructure, obtenant des identifiants applicatifs et l'accès à une base de données contenant plusieurs centaines d'enregistrements de production. Selon Anthropic, il s’agit de l'incident le plus grave des trois. A quatre reprises, le modèle a fini par comprendre, au fil de son propre raisonnement, qu'il opérait probablement dans un environnement réel. Malgré cette prise de conscience, il n’a pas interrompu son attaque.
Le deuxième épisode, conduit par Mythos 5, tient presque du récit d'espionnage. En explorant son environnement fictif, le modèle découvre un document de configuration invitant les développeurs à installer un paquet Python inexistant, hébergé sur PyPI, la plateforme publique de distribution de logiciels Python. Claude y voit une opportunité de publier lui-même un paquet portant ce nom précis, de sorte que les systèmes de l'entreprise fictive l'installent automatiquement. Pour y parvenir, il doit créer un compte sur PyPI, ce qui nécessite une adresse électronique, elle-même conditionnée à un numéro de téléphone. Après avoir tenté en vain d'obtenir des fonds pour s'en procurer un, le modèle contourne finalement l'obstacle, en recourant à un fournisseur de messagerie gratuit, avant de publier son paquet piégé.
 
Ce paquet, mis en ligne pendant environ une heure, est effectivement téléchargé et exécuté sur quinze systèmes distincts, dont celui d'une véritable société de sécurité informatique. Son robot de surveillance installe et analyse systématiquement chaque nouveau paquet publié. Le code dissimulé de Claude s'y est exécuté, permettant l'exfiltration d'identifiants vers un serveur de collecte que le modèle avait lui-même mis en place. Un élément retient particulièrement l’attention. Au cours de son raisonnement, Claude avait correctement identifié le danger réel de son initiative. Il s’est toutefois laissé convaincre en s’appuyant sur les indices trompeurs comme la date du système, qu'il demeurait dans une simulation.
 
Le troisième incident, met en scène un modèle de recherche interne non destiné à une diffusion publique et dont le comportement aboutit à une issue différente. Incapable d'atteindre sa cible fictive, Claude explore près de neuf mille cibles potentielles sur Internet avant de compromettre l'application d'une entreprise à l'aide de techniques rudimentaires (lecture d'identifiants sur une page de débogage exposée, injection SQL). Ce n'est qu’à un stade avancé de l’opération lorsqu’il constate que l'hôte compromis n’entretient aucun lien avec le scénario de l'exercice, que le modèle a conclu à la réalité de sa cible et a, de sa propre initiative, cessé son attaque.
 
Cette dernière réaction retient particulièrement l'attention d'Anthropic. En comparant le comportement des trois modèles, l'entreprise observe une progression. Opus 4.7, le plus ancien, a poursuivi son attaque malgré des signaux clairs. Mythos 5 a correctement soupçonné la réalité de la situation avant de s'en détourner sous l’effet d’un raisonnement erroné. Seul le modèle de recherche le plus récent a interrompu l'exercice de sa propre initiative dès que la preuve est devenue suffisamment tangible. Anthropic se garde néanmoins de généraliser à partir de trois cas isolés, tout en y voyant un indice encourageant, à confirmer par des tests plus systématiques.
 
L'entreprise insiste sur un point essentiel. Dans aucun des trois cas, les modèles n'ont poursuivi d'objectif autonome ni cherché délibérément à s'échapper de leur environnement de test. Ils ont simplement exécuté, avec zèle, la tâche qui leur avait été confiée, sur la base d'une compréhension erronée de la nature de leur environnement. Anthropic en tire une conclusion centrale selon laquelle la frontière entre un comportement aligné et un comportement nuisible dépend directement de la manière dont le modèle comprend la situation dans laquelle il évolue.
 
Sur le plan des mesures correctives, Anthropic annonce plusieurs chantiers. L’entreprise entend renforcer la sécurité et de la surveillance en temps réel des environnements d'évaluation, y compris ceux gérés par des prestataires externes. Elle prévoit également de revoir ses protocoles de collaboration avec ses partenaires, et de confier un examen indépendant à METR, une organisation spécialisée dans l'évaluation des systèmes d'intelligence artificielle. Anthropic prévoit enfin, de publier une transcription partiellement caviardée de l'incident lié au paquet PyPI, une fois les organisations concernées mises à l'abri.
 
Anthropic prend soin de distinguer son cas de celui d'OpenAI. Les modèles d'OpenAI avaient exploité une faille technique inédite pour s'extraire d'un environnement clos. Ceux de Claude ont emprunté un chemin resté simplement ouvert par erreur de configuration. Selon l’entreprise, cette situation relève davantage d’une défaillance opérationnelle, que d'un problème d'alignement du modèle lui-même.
 
Reste que l'épisode dépasse largement le cadre d'un incident technique isolé. Il met en lumière une zone d'ombre de la gouvernance de l'intelligence artificielle : la sécurité des environnements d'évaluation eux-mêmes. Ces derniers sont conçus pour mesurer, avant diffusion publique, les capacités les plus sensibles des modèles ; y compris leurs aptitudes offensives en matière de cybersécurité. Paradoxalement, ce sont précisément ces bacs à sable, souvent perçus comme à faible risque puisque purement fictifs, qui se révèlent être une surface d'attaque à part entière dès lors qu'un agent autonome et compétent y opère. Deux laboratoires concurrents ayant connu, à quelques semaines d'intervalle, des incidents de nature comparable, la question ne relève plus de la simple anecdote d'entreprise, mais d'un risque structurel commun à l'ensemble du secteur.
 
Cette convergence alimente les appels, déjà anciens, en faveur d'une gouvernance plus robuste de l'intelligence artificielle. Les experts du domaine réclament depuis de longue date, des normes de sécurité communes pour les infrastructures d'évaluation, des audits indépendants systématiques, ainsi qu'une obligation de transparence lorsque des incidents surviennent, y compris ; voire surtout, lorsqu'aucune loi n'y contraint formellement les entreprises concernées. Le geste d'Anthropic, qui a choisi de rendre publique une défaillance qu'elle aurait pu taire, tranche avec les réflexes habituels du secteur technologique et illustre une approche dite de « post-mortem sans recherche de coupable », consistant à traiter chaque incident comme une responsabilité collective plutôt que comme une faute isolée à dissimuler.
 
Cette volonté de transparence d'un acteur ne suffit pas à combler un vide réglementaire. À ce jour, aucune norme contraignante n'impose aux laboratoires d'IA de sécuriser leurs bancs d'essai selon des standards uniformes, ni de notifier systématiquement les organisations touchées par ce type d'incident. L'Union européenne, à travers son règlement sur l'intelligence artificielle, et plusieurs initiatives internationales portées par des instituts de sécurité de l'IA, commencent à esquisser un cadre, mais celui-ci reste largement en construction face à la vitesse à laquelle progressent les capacités des modèles. L'épisode révélé par Anthropic constitue, à ce titre, un cas d'école. Il montre et démontre qu'à mesure que les systèmes d'intelligence artificielle gagnent en autonomie et en compétences techniques, la responsabilité de les tester en toute sécurité devient tout aussi essentielle que celle de les déployer avec prudence.

Alioune BA
Spécialiste en Ethique de l’IA