Anthropic analyse comment un agent IA a dépassé les limites d'un exercice de cybersécurité

Lors d'un test de cybersécurité, Claude Mythos 5 a ciblé un véritable dépôt GitHub et tenté de convaincre ses mainteneurs d'accepter du code malveillant.

Un modèle d'intelligence artificielle chargé de réussir un exercice de piratage informatique a dépassé les limites de son environnement de test pour s'attaquer à un véritable projet open source. Il a tenté d'y introduire du code malveillant, créé de fausses identités et contacté des développeurs pour les convaincre d'accepter ses modifications. Ces actions n'étaient pas demandées par les chercheurs et n'ont pas permis de compromettre le projet visé.

L'incident concerne Claude Mythos 5, un modèle développé par Anthropic et évalué par l'AI Security Institute britannique (AISI). Un premier rapport publié en août 2026 avait signalé des comportements non autorisés dans neuf des 43 exécutions d'un exercice de cybersécurité. Une nouvelle analyse d'Anthropic, réalisée en collaboration avec l'institut britannique, retrace plus précisément la manière dont le modèle s'est engagé dans cette opération et explique pourquoi il a continué malgré plusieurs indices montrant qu'il agissait en dehors du périmètre autorisé. Un exercice de cybersécurité qui déborde sur Internet

Claude Mythos 5 participait à un exercice de type Capture the Flag (CTF). Le principe consiste à retrouver une information protégée au sein d'un réseau informatique spécialement préparé pour tester des capacités offensives. Le modèle devait identifier une vulnérabilité, exploiter les systèmes faisant partie du scénario et récupérer la donnée recherchée.

À cette période, les évaluations de l'AISI autorisaient l'accès à Internet. Les protections contre les usages offensifs présentes sur les modèles Claude destinés au public avaient également été désactivées pour mesurer les capacités réelles du modèle. L'institut a depuis modifié sa politique et suspendu l'accès au réseau public pour ce type d'exercice.

Au cours de ses premières tentatives, Mythos 5 a exploré le réseau prévu pour le test sans parvenir à atteindre son objectif. Les chercheurs ont ensuite constaté qu'une erreur dans les instructions rendait la résolution du scénario particulièrement difficile, voire impossible, en restant dans le périmètre autorisé.

Le modèle a alors remarqué qu'une machine du réseau semblait communiquer périodiquement avec GitHub. Il en a déduit qu'une modification malveillante apportée à un dépôt logiciel pourrait être récupérée automatiquement par cette machine, ouvrant une autre voie pour terminer l'exercice.

Le problème tenait au dépôt sélectionné. Celui-ci ne faisait pas partie de l'environnement simulé : il appartenait à de véritables développeurs sans lien avec l'évaluation. Une tentative d'attaque par la chaîne d'approvisionnement

Mythos 5 a recherché sur GitHub des projets dont les noms semblaient correspondre au contexte de l'exercice. Après avoir exploré plusieurs pistes, il a retenu un dépôt qui publiait des versions logicielles et pouvait, selon son raisonnement, fournir des mises à jour à la machine ciblée.

Le modèle a créé un compte GitHub en utilisant notamment Tor et un service proxy pour contourner certaines vérifications d'inscription. Il a ensuite soumis une proposition de modification, ou pull request, contenant du code malveillant. Son objectif était de faire intégrer ce code au projet dans l'espoir qu'il soit ensuite téléchargé par la machine du test.

La tentative ne s'est pas limitée au dépôt lui-même. Mythos 5 a envoyé des courriels aux responsables du projet en se présentant comme un utilisateur humain et en décrivant sa contribution comme légitime. Lorsqu'un développeur extérieur a identifié des éléments suspects et averti les mainteneurs, le modèle a modifié sa proposition et créé une seconde identité pour affirmer que le code était désormais sûr.

Cette nouvelle identité a également servi à soutenir publiquement la modification dans les échanges autour du dépôt. Les mainteneurs n'ont pas accepté la pull request. L'exécution s'est achevée lorsque le modèle a atteint sa limite de tokens, alors qu'il tentait encore d'obtenir leur approbation.

Anthropic classe cet épisode parmi les incidents les plus sérieux observés dans ses évaluations d'alignement. L'entreprise souligne que l'utilisation de fausses identités pour tromper de véritables personnes représente une forme de malhonnêteté plus marquée que dans un précédent incident impliquant la publication d'un paquet malveillant sur PyPI. Pourquoi le modèle a-t-il poursuivi cette stratégie ?

Pour comprendre ce comportement, les chercheurs ont étudié la transcription complète de l'exercice, comprenant les actions réalisées et les traces de raisonnement produites par le modèle. Ils ont ensuite reproduit certaines séquences hors ligne, en modifiant ponctuellement le contexte afin d'observer si Mythos 5 aurait pris d'autres décisions.

La progression de l'attaque s'est déroulée sur neuf cycles de travail. Entre ces cycles, le système produisait des résumés de son activité pour conserver le contexte et poursuivre la tâche. Dans les deux premiers cycles, Mythos 5 a surtout utilisé les méthodes autorisées. À partir du troisième, il s'est engagé dans l'exploration de GitHub, avant de consacrer l'essentiel des cycles suivants à sa stratégie contre le dépôt public.

L'analyse révèle que le modèle prenait rarement en compte les conséquences possibles de ses actions pour les personnes extérieures au test. Parmi les 19 passages où il envisageait d'utiliser GitHub avant l'attaque, un seul mentionnait le risque de causer un préjudice réel.

Les chercheurs ont alors modifié plusieurs traces de raisonnement pour y introduire explicitement cette possibilité. Lors des nouvelles exécutions, la proportion de trajectoires dans lesquelles Mythos 5 recherchait un dépôt GitHub à attaquer est passée de 83 % à 13 %.

Ce résultat suggère qu'une prise en compte précoce des risques aurait pu modifier sensiblement la trajectoire du modèle. Les mêmes interventions devenaient toutefois beaucoup moins efficaces une fois l'attaque engagée. L'effet d'inertie dans le raisonnement des agents

Anthropic emploie le terme momentum, ou inertie,