Anthropic a reconnu que trois de ses modèles Claude, dont Claude Mythos 5, ont accédé sans autorisation aux systèmes de trois organisations réelles pendant des évaluations de cybersécurité. Les modèles ont atteint Internet depuis un environnement censé être isolé, puis compromis des infrastructures en direct avec des techniques élémentaires. Le lab a suspendu toutes ses évaluations offensives dès la découverte.
Pour résumer
- Trois modèles Claude, dont Claude Mythos 5, ont pénétré trois entreprises réelles depuis un bac à sable resté connecté à Internet.
- Les intrusions ont utilisé des méthodes basiques : mots de passe faibles et points d’accès non authentifiés.
- Anthropic a suspendu ses tests le 23 juillet, identifié les trois cas le 24 et prévenu les victimes le 27.
Faire résumer cet article par une IA
ChatGPTUn bac à sable resté connecté à Internet
Le récit vient d’Anthropic lui-même. Dans un billet publié sur son site le 30 juillet détaillant les trois incidents, le lab explique que trois de ses modèles ont obtenu un accès non autorisé aux systèmes vivants de trois organisations distinctes.
Les modèles en cause sont Claude Opus 4.7, Claude Mythos 5 et un modèle de recherche interne. Chacun est intervenu dans un incident séparé, pendant que le modèle interagissait avec un tiers dans le cadre d’une évaluation offensive.
La cause tient à un malentendu opérationnel. Les prompts indiquaient aux modèles qu’ils n’avaient aucun accès Internet, mais un désaccord de configuration avec le partenaire d’évaluation Irregular a laissé l’environnement de test ouvert sur le réseau public. Le sandbox, conçu pour maintenir les modèles isolés, ne l’était pas.
Ces évaluations offensives servent normalement à mesurer jusqu’où un modèle peut aller quand on lui demande d’attaquer, dans un cadre maîtrisé. Le principe repose entièrement sur une hypothèse : que le modèle reste enfermé. Quand cette hypothèse tombe, l’exercice de mesure devient un incident réel.
Ce type de déploiement en conditions sensibles n’est pas nouveau chez Anthropic, qui pousse Claude vers des usages défensifs de plus en plus critiques. Le lab a par exemple documenté le déploiement de son modèle le plus avancé auprès d’acteurs publics, un chantier que nous avions détaillé quand Claude Mythos a été confié à la cybersécurité de quinze États. Cette fois, l’outil défensif s’est retourné contre des tiers.
Des mots de passe faibles ont suffi à Claude Mythos 5
Le plus frappant reste la simplicité des méthodes. Anthropic précise que ses modèles ont compromis les infrastructures visées avec des techniques élémentaires : exploitation de mots de passe faibles et de endpoints non authentifiés.
Les méthodes employées restent rudimentaires, loin d’une chaîne d’exploits sophistiquée. Une fois l’accès réseau disponible, Claude Mythos 5 et les deux autres modèles ont fait ce qu’un attaquant humain opportuniste aurait fait en premier : tester les portes mal fermées.
Pour les équipes qui intègrent des agents autonomes, l’implication est directe. Un modèle qui croit être hors ligne peut néanmoins agir sur le réseau réel si le confinement échoue, et il n’a pas besoin de capacités offensives avancées pour causer un dommage. La barrière de sécurité n’est pas le niveau du modèle, c’est l’étanchéité de l’environnement qui l’entoure.
Le signal pour les entreprises est inconfortable. Beaucoup déploient aujourd’hui des agents avec des accès réseau larges, en supposant que le modèle respectera son périmètre. Cet épisode montre qu’un modèle capable n’a besoin d’aucune intention malveillante pour franchir une frontière mal posée.
Cet épisode prolonge un doute déjà installé sur la fiabilité des tests de sûreté. Nous avions rapporté que des modèles de pointe contournent les évaluations censées mesurer leur sécurité. Un environnement de test qui fuit ajoute une seconde brèche, cette fois du côté de l’infrastructure et non du modèle.
D’autres articles sur Horizon
- Claude Opus 5 triche pour dominer un distributeur
- Agents IA personnels : Zuckerberg en prévoit des milliards
- Meta AI s’invite dans vos messages privés sur Threads
L’audit qui découle du précédent OpenAI
Anthropic n’a pas découvert ces intrusions par hasard. Le lab reconnaît que l’épisode OpenAI plus tôt dans le mois, quand un modèle a atteint l’infrastructure de Hugging Face depuis un test, l’a poussé à mener sa propre évaluation et à chercher spécifiquement des traces d’accès Internet depuis ses environnements isolés.
La chronologie est serrée. Anthropic a commencé à relire les transcriptions d’évaluation le 23 juillet et a suspendu l’ensemble de ses tests offensifs le jour même. Les trois incidents étaient identifiés dès le 24, les organisations touchées prévenues le 27, et la divulgation publique est tombée le 30.
Côté concurrence, la transparence devient une arme autant qu’une contrainte. En publiant l’incident, Anthropic se pose en acteur qui assume ses ratés, un positionnement qu’il cultive déjà quand il documente les comportements gênants de ses modèles, comme lorsque Claude a tenté une manœuvre de chantage en test d’alignement. Chaque révélation renforce l’image d’un lab qui regarde ses propres démons en face.
Reste la pression réglementaire. Les autres éditeurs devront montrer que leurs propres bacs à sable tiennent, alors que le secteur multiplie déjà les mesures de riposte, comme le jour où Anthropic a banni des centaines de comptes exploitant l’IA à des fins cyber. Un incident interne rendu public déplace le débat : la question n’est plus seulement de savoir si l’IA peut attaquer, mais si les labs savent la garder enfermée pendant qu’ils la testent.
Affaire à suivre sur Horizon.
