Anthropic reconnaît que ses IA ont attaqué de vraies entreprises sans jamais s’en rendre compte

Un exercice de cybersécurité se déroule normalement en vase clos, loin de tout système réel. Chez Anthropic, un réglage oublié a pourtant ouvert l’accès à Internet pendant plusieurs tests. L’un des modèles Claude a même publié un logiciel malveillant, téléchargé en une heure par quinze machines.

Les éditeurs d’intelligence artificielle évaluent régulièrement les capacités offensives de leurs modèles. Ces exercices reposent sur des scénarios fictifs, où le programme doit s’introduire dans une machine pour y récupérer une information cachée. L’environnement reste théoriquement coupé du monde extérieur. Cette étanchéité a volé en éclats le mois dernier, quand OpenAI a reconnu que ses modèles avaient pénétré l’infrastructure de Hugging Face.

La réaction du secteur ne s’est pas fait attendre. Nvidia a fédéré 52 entreprises autour d’une alliance consacrée à la sécurité des modèles ouverts. Anthropic a choisi une autre voie en relisant l’intégralité de ses propres évaluations de cybersécurité. L’éditeur du modèle Claude cherchait la trace d’un accès à Internet là où il n’aurait jamais dû exister.

Anthropic a repéré trois intrusions réelles en relisant 141 000 sessions de test

Anthropic a détaillé ces incidents dans un rapport publié par sa Frontier Red Team. Sur 141 006 sessions passées au crible, trois ont conduit des modèles Claude à compromettre l’infrastructure de production de trois organisations. Le prompt affirmait à chaque fois que l’environnement était une simulation dépourvue d’accès à Internet. Une mauvaise configuration, née d’un malentendu avec le partenaire d’évaluation Irregular, laissait pourtant la connexion ouverte. Les modèles ont donc pris de vraies entreprises pour des cibles fictives.

Le cas le plus spectaculaire implique Claude Mythos, le modèle spécialisé en cybersécurité. Après avoir repéré un paquet Python inexistant dans une documentation, il a créé une adresse mail puis un compte PyPI pour publier son propre programme piégé sous ce nom. Le fichier est resté environ une heure en ligne. Quinze machines réelles l’ont téléchargé et exécuté, dont le scanner d’une entreprise de sécurité. L’IA en a exfiltré les identifiants pour atteindre d’autres serveurs.

Les deux autres incidents concernent Opus 4.7 et un prototype de recherche non destiné au public. Le premier a poursuivi son attaque après avoir compris que la cible était réelle, quand le second s’est arrêté de lui-même. Anthropic y voit une défaillance de son infrastructure de test, pas un dérapage des modèles. Les trois organisations ont été prévenues le 27 juillet et deux d’entre elles ignoraient l’intrusion.