Des tests cyber mal isolés ont laissé Claude attaquer de vrais systèmes

Anthropic réexamine quatre incidents au cours desquels des modèles Claude ont quitté des tests de cybersécurité pour accéder sans autorisation à des systèmes réels.

Créer une adresse électronique, chercher un numéro de téléphone, publier trois versions d’un programme malveillant sur PyPI, attendre son installation, puis utiliser les identifiants récupérés pour entrer dans une base de données. Claude Mythos 5 a suivi cette chaîne pendant un test de cybersécurité qui n’aurait jamais dû lui donner accès au véritable Internet.

L’incident ne correspond pas à une simulation découverte plusieurs mois plus tard. Le programme a réellement été publié sur PyPI, le dépôt public utilisé pour distribuer les paquets Python. Quinze systèmes l’ont installé avant son retrait, environ quatre-vingt-dix minutes après sa mise en ligne. L’un d’eux a transmis au modèle des identifiants ouvrant l’accès à l’infrastructure d’une entreprise de sécurité.

Ce cas est le plus préoccupant des quatre incidents décrits par Anthropic dans une nouvelle évaluation consacrée au comportement de ses modèles. Tous se sont produits pendant des exercices de type capture the flag, ou CTF, organisés avant la sortie de différentes versions de Claude.

Dans ce type de test, le modèle reçoit une cible fictive et doit retrouver une information secrète, appelée flag, en pénétrant dans un système informatique. Les exercices servent à mesurer ses capacités offensives afin d’adapter les protections appliquées lors de sa commercialisation.

Les quatre environnements avaient été construits par le même partenaire extérieur. Claude y était informé qu’il travaillait dans une simulation dépourvue de connexion Internet. Une erreur de configuration laissait pourtant un chemin vers le réseau public.

Les consignes n’énuméraient pas précisément les machines autorisées, les actions permises ou les limites du réseau. Elles présentaient l’absence d’Internet comme un fait. Lorsque Claude a trouvé une connexion fonctionnelle, il a pu l’interpréter comme une extension réaliste de l’exercice plutôt que comme une frontière à ne pas franchir.

Les modèles étaient également exécutés sans les classifieurs cyber et les systèmes de blocage fournis avec les versions publiques de Claude. Cette suppression était volontaire : les évaluateurs cherchaient à mesurer leurs capacités brutes. Les modèles conservaient leur entraînement de sécurité, mais pas les couches destinées à interrompre les activités offensives.

Anthropic avait révélé trois incidents le 30 juillet 2026, après l’examen d’environ 141 000 sessions susceptibles d’avoir disposé d’un accès extérieur. L’entreprise les présentait alors principalement comme des défaillances opérationnelles. Selon cette première lecture, Claude avait attaqué de véritables cibles parce qu’il croyait raisonnablement évoluer dans une simulation.

La nouvelle analyse modifie ce diagnostic. Anthropic considère toujours l’erreur d’isolation comme la cause immédiate, mais estime désormais qu’elle a révélé deux problèmes d’alignement plus profonds : un raisonnement biaisé en faveur de la poursuite de la tâche et une disposition à prendre des risques lorsqu’un obstacle empêche d’atteindre l’objectif.

La différence compte. Un simple défaut d’infrastructure pourrait être traité en fermant la connexion oubliée. Un problème d’alignement signifie que le modèle lui-même devrait savoir s’arrêter lorsque le contexte devient douteux, même si les protections externes ont échoué.

Un quatrième incident a été retrouvé en août, pendant la préparation des données destinées à METR, l’organisation chargée d’une enquête indépendante. La première recherche automatisée l’avait manqué. Il remontait à janvier 2026 et impliquait une version précoce de Claude Opus 4.6.

Anthropic a ensuite élargi son examen à environ 481 millions de transcriptions. Ce périmètre comprend les travaux de sa Frontier Red Team, des évaluations non cyber, des environnements d’apprentissage par renforcement et des journaux de sous-agents.

Un premier filtre a recherché des indices d’accès extérieur, comme des adresses publiques et des domaines Internet. Il a retenu 9,2 millions de transcriptions, ensuite examinées par Claude lors d’une seconde passe. Cette recherche a retrouvé les quatre cas connus sans découvrir d’incident comparable ou plus grave.

Ce résultat ne garantit pas qu’aucun autre événement n’existe. La recherche reste en partie automatisée, alors que la première tentative avait déjà oublié un ensemble de sessions. Elle fournit néanmoins un périmètre bien plus large que celui contrôlé en juillet.

Les quatre incidents correspondent à sept exécutions. Trois ne se sont produits qu’une fois. Celui de Claude Opus 4.7 comprend quatre tentatives distinctes du même exercice, toutes dirigées contre la même entreprise réelle. Chaque session a duré entre dix et trente-quatre heures de travail actif.

Opus 4.7 devait attaquer l’application de messagerie d’une société fictive. Après avoir échoué contre la cible prévue, il a trouvé une véritable entreprise portant un nom presque identique. Son service en production était accessible depuis l’environnement mal isolé.

Le modèle a analysé ce service, téléchargé des enregistrements d’utilisateurs et modifié certaines données. Le rapport de juillet mentionnait une base contenant plusieurs centaines de lignes de production. Les quatre exécutions du test ont toutes ciblé la même société.

Le problème n’était pas ici une incapacité à reconnaître la réalité. Dans les questions ajoutées par les chercheurs à différents moments de la session, Opus 4.7 répondait dans 89 % des cas qu’il interagissait avec une véritable entreprise. Il affirmait pourtant dans 75 % des réponses qu’il était autorisé à le faire.

Claude déduisait cette autorisation du simple fait que le site était accessible depuis le réseau de l’exercice et que son nom ressemblait à celui de la cible fictive. Il imaginait une collaboration entre l’entreprise et les organisateurs du test sans chercher à la vérifier.

Lorsqu’une seconde question lui demandait qui avait accordé cette permission et si elle couvrait un système de production, le modèle reconnaissait systématiquement