Espionnage, surveillance, fraude : comment Claude a été détourné

Anthropic documente des usages malveillants de Claude dans l’espionnage, la surveillance, la fraude et l’armement, avec des opérations largement déléguées à des agents.

Trois heures pour passer d’un jeton de développeur volé au contrôle administratif complet d’un environnement cloud. Des dizaines de victimes traitées en parallèle. Des outils malveillants automatiquement modifiés dès qu’un produit de sécurité les repère. Dans son dernier rapport, Anthropic décrit une évolution moins spectaculaire qu’une nouvelle faille révolutionnaire, mais potentiellement plus lourde de conséquences : l’automatisation d’une part croissante du travail nécessaire à une attaque.

Publié le 10 septembre 2026, le document couvre les opérations détectées et perturbées entre décembre 2025 et août 2026. Ses 154 pages abordent sept domaines : cyberattaques, opérations d’influence, surveillance, fraude, recherche biologique détournée, développement d’armes conventionnelles et extraction non autorisée des capacités de Claude.

Les acteurs recensés comprennent des groupes soupçonnés de travailler pour des États, des cybercriminels à motivation financière, des prestataires de surveillance, des institutions de propagande et des opérateurs politiques. Ils ont utilisé Claude Haiku, Sonnet et Opus. Anthropic indique n’avoir observé ses modèles Fable ou Mythos que dans un cas lié à l’extraction de capacités.

Le rapport ne présente pas ces incidents comme représentatifs de l’ensemble des usages malveillants. Anthropic a sélectionné les affaires qu’elle considère comme les plus notables ou les plus nouvelles. Les observations proviennent principalement de ses propres services, de ses systèmes de détection et de ses travaux d’attribution. Elles ne constituent donc pas un recensement complet des menaces liées à l’IA ni un audit indépendant des affaires présentées.

L’entreprise utilise des identifiants internes, baptisés Generative Threat Groups ou GTG, pour désigner les opérateurs suivis. Elle cherche également à estimer l’apport de l’IA selon trois dimensions : la vitesse, l’échelle et la profondeur des opérations. Cette mesure reste en partie qualitative, puisqu’il est rarement possible d’observer la même campagne menée dans des conditions identiques sans assistance automatisée.

La principale conclusion porte moins sur la nouveauté des techniques que sur leur coût. Les attaques décrites reposent souvent sur des méthodes déjà connues : identifiants volés, services exposés, appareils non corrigés, injections SQL, hameçonnage et détournement de comptes cloud. Ce qui change, selon Anthropic, est la quantité de travail qu’un seul opérateur peut leur consacrer.

La reconnaissance, l’écriture d’outils, l’exploitation, le déplacement dans un réseau et le classement des données volées peuvent désormais être confiés à plusieurs agents exécutés simultanément. Dans les cas les plus avancés, l’humain indique un objectif général, fournit un accès initial puis examine les résultats, tandis que le système choisit et enchaîne une partie des opérations intermédiaires.

Cette autonomie ne signifie pas que Claude décide seul d’attaquer une organisation. Les humains conservent généralement la sélection des cibles, les décisions de monétisation et la validation des résultats. Anthropic souligne aussi qu’autonomie et gravité ne sont pas équivalentes : automatiser une opération augmente sa vitesse et son volume, sans déterminer à lui seul l’étendue des dommages.

Le cas le plus détaillé concerne GTG-20006, un acteur russophone dont les méthodes et les cibles sont jugées compatibles avec celles de Midnight Blizzard. Ce nom est utilisé par Microsoft pour suivre un groupe que les gouvernements américain et britannique rattachent au service russe de renseignement extérieur.

L’opérateur visait des administrations, des services de renseignement militaire, des missions diplomatiques, des fabricants liés à la défense et des personnes associées à la politique étrangère américaine. Plus de vingt organisations auraient été concernées par ses préparatifs, ses reconnaissances ou ses opérations actives.

Claude intervenait dans presque toute la chaîne : recherche des cibles, acquisition d’infrastructures, création de domaines, hameçonnage, maintien des accès, déplacement entre les systèmes et extraction des données. Des tâches programmées renouvelaient des jetons d’accès volés et récupéraient le contenu d’espaces cloud sans intervention humaine continue.

L’acteur avait également construit une boucle destinée à surveiller la détection de ses logiciels malveillants. Lorsqu’un produit de sécurité signalait un composant, des agents en modifiaient le code, reconstruisaient le fichier et répétaient le processus jusqu’à obtenir une version qui n’était plus repérée. Cette capacité réduit la durée pendant laquelle une signature statique peut ralentir une campagne.

L’une de ces opérations passait par les réseaux Wi-Fi d’hôtels. L’attaquant aurait compromis au moins trois prestataires du secteur, puis modifié leurs réglages DNS afin de rediriger les voyageurs vers son infrastructure. Les visiteurs recevaient de fausses instructions de mise à jour ou de réparation destinées à leur faire installer un logiciel malveillant.

Cette partie de l’affaire dispose d’un élément de confirmation extérieur au rapport. Microsoft décrit la campagne sous le nom CaptiveCrunch, l’attribue à un sous-groupe de Midnight Blizzard et indique avoir observé un recours important à l’IA. Microsoft remercie également Anthropic et OpenAI pour leur contribution à l’enquête.

Le même acteur aurait pris le contrôle de comptes WhatsApp en les reliant à des navigateurs sans interface utilisés comme appareils compagnons. La configuration supprimait les confirmations de lecture pendant l’exportation des conversations. Au moins deux anciens responsables ukrainiens de haut niveau auraient été ciblés.

Les données recherchées ne se limitaient pas aux communications diplomatiques. Le groupe a volé le kit de développement complet d’un système de vision pour drone, puis reconstitué son architecture, ses composants, ses fournisseurs et les caractéristiques d’un produit qui n’avait pas encore été annoncé.