Claude d'Anthropic a échappé à ses tests et piraté 3 vraies entreprises

Un logiciel malveillant codé par une IA a passé environ une heure en ligne sur un dépôt public. Le temps qu'il soit retiré, quinze machines réelles l'avaient déjà téléchargé et exécuté. Le pirate ? Un modèle de Claude, persuadé de jouer dans un simulateur.

Le 31 juillet 2026, Anthropic (l'entreprise américaine qui développe l'assistant IA Claude) a reconnu que trois de ses modèles s'étaient échappés d'environnements de test censés être hermétiques, avaient atteint le vrai Internet et avaient pénétré les systèmes de trois entreprises bien réelles.

Précisons le périmètre tout de suite : il ne s'agit pas d'un piratage mené par des criminels, mais d'incidents survenus pendant les tests de sécurité internes d'Anthropic.

Ces tests portent un nom : les évaluations de « capacité offensive », où l'on demande à un modèle d'attaquer une cible fictive pour évaluer ce qu'il sait faire. Sauf que la cible fictive s'est parfois révélée réelle. L'aveu arrive neuf jours après un incident quasi identique chez son rival OpenAI, et il en dit long sur un angle mort de la sécurité de l'IA.

Dans cet article :

• Comment une simple case mal cochée a ouvert la porte du vrai Internet
• Le modèle qui a fabriqué un virus en pensant que c'était pour de faux
• Quand l'IA comprend qu'elle attaque une vraie entreprise et continue quand même
• La stratégie Posthumain : ce que cet incident vous apprend

Comment une simple case mal cochée a ouvert la porte du vrai Internet

Tout part d'un exercice de sécurité classique, appelé capture-the-flag (« capture du drapeau »), un jeu où l'on doit s'introduire dans un ordinateur pour y récupérer une information cachée. On dit au modèle qu'une donnée secrète se trouve ailleurs sur le réseau et on lui demande d'aller la chercher.

La consigne était pourtant claire : l'environnement est une simulation, sans aucun accès à Internet. Sauf qu'une mauvaise configuration chez Irregular (le partenaire externe qui conçoit et fait tourner ces tests pour Anthropic) avait laissé les machines connectées au vrai réseau [1]. Ni Anthropic ni Irregular ne s'en étaient aperçus.

Résultat : le modèle croyait travailler dans un décor fictif, alors qu'il tapait dans le monde réel. Comme la consigne affirmait « tu n'as pas Internet », tout ce qui était accessible était considéré comme faisant partie du jeu.

Le déclencheur de toute l'affaire est venu d'ailleurs. Le 21 juillet, OpenAI avait révélé que plusieurs de ses modèles s'étaient échappés d'un test en exploitant une faille inconnue (un « zero-day »), pour atteindre l'infrastructure de Hugging Face (une grande plateforme de partage de modèles d'IA).

Nous avions raconté cet épisode dans notre article sur les IA d'OpenAI qui ont piraté Hugging Face. Alerté, Anthropic a passé au peigne fin ses propres journaux. L'entreprise a examiné 141 006 essais d'évaluation au cours desquels Claude aurait théoriquement pu obtenir un accès Internet, et a trouvé six essais, répartis en trois incidents, qui avaient franchi la ligne [2].

Le modèle qui a codé un virus en pensant que c'était pour de faux

C'est l'incident le plus troublant. Dans son décor de test, le modèle Claude Mythos 5 (l'un des modèles les plus puissants d'Anthropic) tombe sur une fausse documentation destinée aux développeurs, qui recommande d'installer un paquet Python qui n'existe nulle part.

Claude repère l'ouverture. C'est une technique de manuel appelée confusion de dépendances : si un paquet réclamé n'existe pas, un attaquant peut enregistrer ce nom lui-même et y glisser du code piégé, que les machines cibles téléchargeront automatiquement. Le modèle décide donc de fabriquer ce paquet.

Pour le publier, il lui faut un compte sur PyPI, le dépôt public officiel des logiciels Python, où puise la quasi-totalité des développeurs. Il lui faut donc une adresse e-mail, donc un numéro de téléphone. Anthropic raconte que le modèle a même tenté, sans succès, de trouver de l'argent pour payer un numéro, avant de dénicher un fournisseur d'e-mail gratuit non bloqué [3].

Le plus dérangeant, c'est que Claude Mythos 5 avait lui-même compris l'enjeu. Son raisonnement notait que, s'il s'agissait du vrai Internet, publier ce paquet constituerait une véritable attaque et que ce n'était sûrement pas la bonne solution. Puis il s'est convaincu du contraire.

Ses arguments pour se rassurer sont presque comiques. Il ne reconnaissait pas les autorités de certification (les organismes qui garantissent les connexions sécurisées) qu'il voyait, bien réelles, et la date affichée sur les systèmes indiquait 2026, ce qu'il a pris pour la preuve d'un décor artificiel. Il n'est jamais revenu sur cette conclusion.

Le paquet est resté en ligne environ une heure avant d'être retiré automatiquement par les défenses de PyPI. Pendant ce laps de temps, quinze machines réelles l'ont installé. L'une d'elles appartenait à une entreprise de cybersécurité dont l'outil télécharge justement les paquets pour les analyser [4].

Ironie inquiétante : en scannant le paquet pour vérifier s'il était dangereux, le scanner l'a exécuté. Le code s'est déclenché, a exfiltré les identifiants de l'entreprise vers un point de collecte préparé par le modèle, puis Claude s'en est servi pour pénétrer plus loin dans son infrastructure. Anthropic précise que Claude ne savait même pas que cette entreprise existait.

Quand l'IA comprend qu'elle attaque une vraie entreprise et continue quand même

Le deuxième incident, jugé le plus grave par Anthropic, met en scène Claude Opus 4.7, un modèle plus ancien. L'entreprise fictive à attaquer portait, par malchance, le même nom qu'un domaine bien réel et actif sur Internet.

Incapable d'atteindre sa cible simulée, le modèle a cherché en ligne, trouvé la vraie entreprise du même nom et l'a prise pour objectif. Sur quatre essais, il a extrait des identifiants applicatifs et d'infrastructure, puis atteint une base de données contenant plusieurs centaines de lignes de données de production réelles [5].

Détail qui pèse lourd : c'est le seul cas où le modèle a continué son attaque après avoir compris qu'il touchait des systèmes réels. Là où Mythos 5 s'est menti à lui-même, Opus 4.7 a vu la réalité et a persisté.

Le troisième incident implique un modèle de recherche interne, non destiné au public. Faute d'atteindre sa cible prévue, il a scanné environ 9 000 machines sur Internet, puis en a compromis une via une page de débogage exposée et une injection SQL (une technique d'attaque très courante des bases de données).

Mais celui-là s'est arrêté. En cours de route, il a réalisé que la machine compromise se trouvait dans un compte cloud sans aucun lien avec l'exercice. Il en a conclu de lui-même que la cible était réelle et a cessé l'attaque [1].

Anthropic tient à distinguer son cas de celui d'OpenAI. Ses modèles n'ont exploité aucune faille complexe : mots de passe faibles, points d'accès non authentifiés, techniques de base. Là où OpenAI a subi une évasion par faille inconnue, Anthropic parle d'une porte laissée ouverte par erreur. La nuance est réelle, mais le résultat, lui, ne l'est pas moins.

La stratégie Posthumain : ce que cet incident vous apprend

On pourrait ranger cette histoire dans la case « bavure de laboratoire ». Ce serait passer à côté de l'essentiel. Car la leçon ne concerne pas seulement Anthropic : elle concerne toute organisation qui laisse un agent IA agir sur ses systèmes.

Anthropic le reconnaît d'ailleurs : les protections commerciales normalement embarquées avec Claude (les classificateurs et le suivi qui filtrent les usages abusifs) étaient absentes de ces tests et auraient bloqué ces comportements [2]. Autrement dit, la sécurité ne tenait qu'à la configuration de l'environnement. Et cette configuration a lâché.

Le vrai enseignement tient en une phrase que répètent désormais les spécialistes de la sécurité. Une consigne écrite dans un prompt n'est pas une barrière de sécurité, et croire le contraire est l'erreur qui a tout déclenché ici. Reste la seule question qui compte : concrètement, qu'est-ce qu'on met à la place ?