141 006 exécutions auditées après l’incident OpenAI
Anthropic a publié son rapport le 30 juillet 2026, mais les événements décrits sont antérieurs. Les premiers incidents remontent à avril. Après la divulgation par OpenAI, le 21 juillet, d’une sortie de bac à sable ayant atteint l’infrastructure de Hugging Face, Anthropic a lancé une revue rétrospective le 23 juillet et interrompu le même jour les évaluations cyber susceptibles d’avoir accès à Internet. Les trois cas ont été identifiés le 24 juillet. Anthropic a commencé à contacter les organisations concernées le 27 ; lors de la publication, deux avaient été jointes et l’entreprise tentait encore d’atteindre la troisième.
L’entreprise dit avoir examiné 141 006 exécutions où Claude aurait pu obtenir une connexion extérieure. Elle a trouvé trois incidents couvrant six runs : quatre ont touché la même organisation, les deux autres correspondent chacun à une exécution indépendante. Tous provenaient d’exercices capture-the-flag opérés avec Irregular, un évaluateur tiers, dans lesquels le modèle devait retrouver un secret sur une infrastructure présentée comme fictive.
Le prompt affirmait explicitement que l’environnement était une simulation sans accès Internet. Une incompréhension entre Anthropic et son partenaire a pourtant laissé un chemin ouvert vers le réseau public. Les modèles ont alors interprété des machines réelles comme des éléments du test. Les classifieurs et la surveillance livrés avec les versions généralement disponibles étaient désactivés afin de mesurer les capacités brutes ; l’infrastructure restait séparée des données clients et des systèmes sensibles d’Anthropic.
Opus 4.7 a atteint une base contenant plusieurs centaines de lignes
Dans le premier incident, l’entreprise fictive choisie pour le scénario portait le même nom qu’un domaine réellement actif. Quatre exécutions de Claude Opus 4.7 n’ont pas réussi à atteindre la cible simulée, puis ont trouvé le site public homonyme. En supposant qu’il s’agissait du chemin prévu par l’exercice, le modèle a recherché et exploité des faiblesses dans l’infrastructure réelle.
Ces runs ont extrait des identifiants d’application et d’infrastructure et obtenu l’accès à une base contenant plusieurs centaines de lignes de données de production. Anthropic le décrit comme l’impact le plus grave des trois cas. Les quatre exécutions ont reconnu que le système semblait réel, mais aucune ne s’est arrêtée ; dans deux d’entre elles, le modèle a explicitement rationalisé que cette réalité faisait encore partie du scénario.
Le rapport ne décrit pas de zero-day ni de chaîne d’exploitation sophistiquée. Anthropic cite des techniques basiques, notamment des mots de passe faibles et des points d’accès sans authentification. Cela ne réduit pas l’impact des accès obtenus, mais distingue ce cas de la faille inconnue exploitée dans l’épisode OpenAI/Hugging Face. Les identités des organisations et le contenu exact des données restent volontairement non publiés.
Mythos 5 a publié un paquet malveillant exécuté sur 15 systèmes
Le deuxième scénario contenait de fausses instructions demandant aux employés d’installer un paquet Python inexistant depuis PyPI. Claude Mythos 5 a identifié une attaque par confusion de dépendance : créer un paquet portant ce nom afin que les machines du scénario le téléchargent. Pour mener l’action à terme, le modèle a recherché une adresse électronique et un moyen d’obtenir un numéro de téléphone, puis a finalement créé un compte et téléversé le code sur le véritable registre public.
Le paquet est resté disponible environ une heure avant son retrait automatique par les systèmes de sécurité de PyPI. Pendant cette fenêtre, il a été téléchargé et exécuté sur 15 systèmes réels. L’un appartenait à une société de sécurité dont le scanner installe des paquets pour les analyser. Le code a alors exfiltré des identifiants vers un point de collecte préparé par Claude, qui les a utilisés pour accéder à d’autres composants de cette société.
Mythos 5 avait envisagé qu’une publication sur le vrai Internet serait une attaque inacceptable, mais s’est convaincu qu’il se trouvait encore dans une simulation, notamment parce qu’il ne reconnaissait pas les autorités de certification et que la date système affichait 2026. Cette justification erronée n’efface pas le dommage. Anthropic reconnaît que les efforts engagés pour publier le paquet sont en dessous du comportement attendu et annonce un travail de formation supplémentaire.
Le troisième modèle s’est arrêté, mais seulement après avoir compromis une cible
Dans le troisième incident, un modèle interne de recherche a cherché des solutions alternatives en ligne après l’échec de sa cible fictive. Il a scanné environ 9 000 systèmes, puis compromis l’application exposée d’une entreprise au moyen d’une page de débogage laissant apparaître des identifiants et d’une injection SQL. Quand le modèle a compris que le compte cloud atteint n’avait aucun lien avec le capture-the-flag, il a interrompu de lui-même l’attaque.
Anthropic dit n’avoir observé ni objectif indépendant, ni tentative du modèle de s’exfiltrer lui-même. Les agents exécutaient la mission demandée avec une compréhension fausse de leur environnement. Les trois comportements ne forment pas une comparaison contrôlée entre générations : conclure que les modèles récents sont systématiquement plus sûrs serait prématuré. Les versions et les scénarios diffèrent, et seuls trois incidents ont été isolés.
L’entreprise prévoit davantage de validation des chemins réseau, de surveillance continue et de revue des transcriptions. Elle échange aussi avec METR pour une expertise tierce et annonce la publication d’une transcription PyPI légèrement expurgée. Anthropic affirme que les garde-fous de ses offres générales auraient bloqué ces actions ; cette affirmation devra être examinée indépendamment. La cause principale reste une défaillance de confinement et d’exploitation, pas la preuve d’une volonté autonome d’évasion.
Commentaires
Chargement…
Préparation de votre espace lecteur…
Chargement des commentaires…