Une semaine après OpenAI et l’affaire Hugging Face, Anthropic dévoile à son tour un incident impliquant son intelligence artificielle. Apparemment, plusieurs versions de Claude ont réussi à accéder à Internet et à pénétrer les systèmes de trois organisations lors d’évaluations de cybersécurité. Si aucun comportement autonome n’a été observé, cet épisode relance les interrogations sur le contrôle des modèles d’IA les plus avancés.
CLAUDE A QUITTÉ SON BAC À SABLE
L’affaire trouve son origine dans un audit interne lancé par Anthropic après la révélation du récent incident chez OpenAI. Pour mémoire, un modèle expérimental d’OpenAI était parvenu à sortir de son environnement de test et à compromettre les systèmes de Hugging Face.
Anthropic a donc passé en revue plus de 141 000 sessions d’évaluation afin de vérifier si Claude avait lui aussi réussi à communiquer avec Internet depuis un environnement censé être totalement isolé.
La réponse n'a pas tardé puisque trois incidents ont été identifiés. Dans chacun d’eux, Claude a pu accéder à Internet à cause d’une erreur de configuration lors de tests réalisés avec son partenaire Irregular. Les deux entreprises pensaient que l’environnement ne disposait d’aucun accès au réseau alors qu’une connexion était bel et bien ouverte.
DES SYSTÈMES RÉELS ONT ÉTÉ COMPROMIS
Cette simple erreur a suffi pour permettre à plusieurs versions de Claude d’interagir avec de véritables infrastructures. Selon Anthropic, trois modèles différents étaient concernés : Claude Opus 4.7, Mythos 5 et un modèle expérimental interne plus récent.
Le comportement observé diffère selon les versions. Opus 4.7 a reconnu qu’il se trouvait sur un système réel, mais a poursuivi son attaque malgré tout, allant jusqu’à récupérer des identifiants et accéder à une base de données de production. De son côté, Mythos 5 a publié un paquet logiciel malveillant sur le registre public PyPI, lequel a été téléchargé puis exécuté avant d’être rapidement retiré. Mais la bonne surprise vient du petit dernier : le modèle expérimental le plus récent s’est arrêté de lui-même après avoir conclu que sa cible appartenait au monde réel.
PAS D’IA "HORS DE CONTRÔLE"
On est encore loin du scénario catastrophe d'Hollywood. Anthropic insiste sur un point important : aucun élément ne laisse penser que Claude poursuivait un objectif personnel.
Les modèles cherchaient uniquement à accomplir la mission qui leur avait été confiée. Ils avaient pourtant reçu une instruction explicite indiquant qu’ils ne disposaient d’aucun accès à Internet. En découvrant des systèmes réels, deux d'entre eux ont simplement interprété cette situation comme faisant partie du scénario de test.
L’entreprise précise également que ces essais étaient réalisés sans les protections de sécurité habituellement déployées sur les versions publiques de Claude. Ces garde-fous auraient, selon elle, bloqué ce type de comportement.
UNE INDUSTRIE SOUS PRESSION
Cette nouvelle révélation intervient alors que les laboratoires d’IA multiplient les évaluations offensives afin de mesurer les capacités de leurs modèles en cybersécurité. Anthropic tient toutefois à distinguer son incident de celui d’OpenAI. Dans son cas, Claude n’a pas exploité une faille informatique inconnue pour s’échapper. Les modèles ont simplement emprunté une connexion Internet laissée ouverte par erreur dans un exercice simulé volontairement.
Autre différence mise en avant : l’entreprise affirme avoir découvert elle-même ces incidents avant même que les organisations concernées ne détectent une activité anormale. Anthropic travaille désormais avec l’organisme indépendant METR afin de réaliser un audit externe de ces événements.
Qu’en penser ?
Mais dans tout cela, une chose est sûre. En quelques jours, OpenAI puis Anthropic viennent de démontrer que les modèles d’IA les plus avancés peuvent désormais interagir avec des systèmes informatiques d’une manière qui dépasse largement le cadre théorique. Les deux affaires sont différentes sur le plan technique, mais elles convergent vers la même conclusion : les environnements de test devront être beaucoup plus hermétiques à mesure que les capacités des modèles progressent.
Le point le plus rassurant est sans doute qu’aucun comportement autonome n’a été identifié. Claude n’a pas décidé de pirater ces organisations ; il a simplement exécuté la tâche demandée avec les moyens qui lui étaient accidentellement laissés à disposition. Cela n’en fait pas moins un avertissement sérieux pour toute l’industrie, qui entre dans une nouvelle phase où la sécurité des évaluations devient presque aussi importante que celle des modèles eux-mêmes.
