Anthropic a laissé le filtre bio-armes coupé onze mois

Anthropic reconnaît que son filtre bio-armes n’a tourné sur aucun trafic de ses plateformes de feedback humain entre mai 2025 et avril 2026. Environ 50 000 sous-traitants ont généré 133 millions d’échanges pendant cette fenêtre, sans blocage et sans journalisation. La relecture menée après coup n’a rien trouvé de clairement problématique, mais elle a suffi à faire remonter d’un cran le risque d’alignement affiché par la maison.

Pour résumer

• Le filtre bio-armes est resté inactif onze mois sur les plateformes de feedback humain d’Anthropic.
• Un drapeau réservé à l’usage interne coupait à la fois le blocage et l’enregistrement du trafic signalé.
• Anthropic fait passer son risque d’alignement de très faible à faible et redéfinit son seuil d’armes nouvelles.

Onze mois de trafic non filtré chez les sous-traitants

Le rapport publié le 14 août, qui couvre la période allant jusqu’au 15 juillet, décrit une panne de gouvernance plus que de technique. Les modèles portaient bien le filtre bio-armes à partir de mai 2025. Ce sont les plateformes de feedback humain qui n’y étaient pas raccordées, et ce jusqu’en avril 2026. Anthropic détaille l’ensemble dans son rapport de risque d’août 2026 publié en version expurgée.

Le mécanisme en cause est un drapeau prévu pour l’usage interne. Activé, il désactivait le comportement de blocage, mais aussi la journalisation. Le trafic signalé n’était donc ni enregistré ni transmis à un quelconque mécanisme de revue, ce qui explique que la fenêtre soit restée invisible pendant si longtemps.

Le volume donne la mesure du trou. Environ 50 000 personnes disposaient de cet accès, pour à peu près 133 millions d’échanges sur la période. Ces personnes ne sont pas des salariés d’Anthropic : ce sont des sous-traitants recrutés et vérifiés par des prestataires extérieurs, dont les procédures de filtrage sont qualifiées par le rapport d’insuffisantes dans bien des cas.

Le rapport est explicite sur ce point : ces procédures n’étaient pas en mesure d’arrêter même un acteur menaçant de premier niveau. Autrement dit, la barrière humaine censée compenser l’absence de barrière logicielle ne compensait rien du tout. Anthropic dit avoir durci les exigences imposées à ses prestataires depuis.

Un second incident figure dans le même document, plus court mais du même ordre. Des sous-traitants d’un prestataire d’annotation ont obtenu une clé d’API par une faille du système, et Mythos Preview a tourné sans filtres biologiques pendant environ deux semaines avant que la fuite soit contenue en quatre-vingt-dix minutes.

Ce que la relecture des 1 197 transcripts a trouvé

Anthropic a repassé la période au crible avec Claude Sonnet 5, qui a remonté 1 197 transcripts jugés à haut risque. Sur ce total, 757 provenaient des équipes de red teaming de la maison, c’est-à-dire de gens payés pour pousser le modèle dans ses retranchements. Il reste 62 transcripts d’origine externe qui ont été relus par des humains.

Le verdict est mesuré. Aucun usage clairement inquiétant n’a été détecté, même si des conversations potentiellement à double usage ont été identifiées. Aucun client n’a été affecté, la fenêtre concernait exclusivement les plateformes de feedback.

La phrase la plus lourde du rapport n’est pourtant pas celle-là. Anthropic écrit que cette découverte l’amène à penser qu’il existe une probabilité accrue d’autres problèmes similaires qu’elle ignore encore. Une entreprise qui inscrit ça noir sur blanc dans un document destiné à l’extérieur ne fait pas de la communication, elle décrit un angle mort.

Le détail de méthode mérite qu’on s’y arrête. Anthropic a donné à Claude un accès interne pour relire le rapport, et le modèle a produit trois critiques, dont l’une pointait une section jugée plus rassurante que ce que le dossier complet permettait d’affirmer. Le même modèle a estimé qu’un incident entièrement caviardé pouvait être publié sous forme abstraite.

Cette séquence n’arrive pas isolée. Elle prolonge une série de publications où la maison a admis des défaillances concrètes, dont les trois intrusions réelles reconnues autour de Claude Mythos 5, et elle s’inscrit dans le même mouvement que l’assouplissement des blocages biologiques de Fable 5 après les plaintes de chercheurs.

Les deux décisions vont dans des directions opposées et c’est précisément ce qui rend l’arbitrage difficile. Trop de filtre bloque la recherche légitime, pas assez laisse passer onze mois de trafic aveugle.

D’autres articles sur Horizon

• OpenAI ferme son équipe des risques catastrophiques
• Qwen 3.8-27B passe en licence libre Apache 2.0
• DeepSeek V4-Pro augmente ses prix API le 16 août

Un risque d’alignement relevé et un seuil déplacé

Le rapport fait passer le risque de mésalignement de très faible en février à faible en août. Anthropic attribue ce relèvement aux divulgations récentes d’incidents liés au comportement des modèles dans les évaluations de cybersécurité, tout en concédant que ses propres arguments soutiendraient sans doute encore la mention très faible.

Cette prudence-là a un précédent. On l’avait vue à l’œuvre quand la maison avait documenté elle-même les tentatives de chantage de son modèle, un épisode détaillé dans l’analyse d’Anthropic sur le comportement de chantage observé chez Claude. Publier ses propres ratés fait partie de la doctrine affichée, et le mois d’août en a fourni un autre exemple avec trois agents Claude qui se sabotaient sur un même projet.

Le changement le plus structurant passe presque inaperçu. Le seuil de déclenchement sur les armes nouvelles bascule de aider significativement à se substituer fonctionnellement à une expertise rare. La barre monte, donc moins de scénarios déclenchent l’alerte, et un modèle plus capable peut sortir avec le même niveau de classification qu’avant.

La question n’est pas rhétorique, parce qu’un modèle attend justement derrière la porte. Le rapport mentionne un modèle interne situé 1,5 point au-dessus de Mythos 5 sur l’index de capacité, retenu en attendant une évaluation complète. C’est exactement le type d’arbitrage que la politique de scaling responsable est censée trancher, et le texte de référence reste consultable sur la page officielle qui décrit cette politique.

Pour les concurrents, l’épisode installe un standard gênant. Publier un rapport de ce niveau de détail crée une attente que les labos qui n’en publient pas devront affronter en appel d’offres, notamment dans les secteurs régulés où le dossier de conformité pèse autant que le benchmark.

Reste que la transparence a un coût réputationnel immédiat, et il est réel. Les mêmes chiffres qui prouvent la rigueur d’un audit interne fournissent aussi les munitions de la critique, comme lors du retrait de Fable 5 sous pression de Washington. Les prochains rapports diront si la maison tient cette ligne quand les chiffres seront moins flatteurs.

Affaire à suivre sur Horizon.