Anthropic requalifie ses incidents Claude en défaut d'alignement

Le 9 septembre 2026, Anthropic publie une relecture complète des incidents où ses modèles Claude ont accédé à de vrais systèmes tiers pendant des évaluations de cybersécurité mal configurées. Fin juillet, l'entreprise parlait d'une défaillance de son dispositif de test. Elle écrit désormais que le raisonnement de Claude « était biaisé vers la conclusion que l'internet était simulé, en dépit d'indices considérables allant dans le sens contraire ».

Nous avions analysé le rapport initial du 30 juillet dans notre article sur les intrusions de Claude pendant les tests. La suite publiée mercredi 9 septembre change la lecture de l'affaire : deux défauts d'alignement sont nommés, un quatrième incident est dévoilé et l'organisme METR ouvre une enquête indépendante.

« Défaillance de harnais » ou défaut d'alignement : ce qui a changé

Le 30 juillet, le rapport initial décrivait trois incidents comme relevant « davantage d'une défaillance de harnais et d'exploitation que d'une défaillance d'alignement » (traduction ActuIA) : les modèles avaient cru attaquer des cibles faisant partie de la simulation. Le nouveau billet inverse la perspective. Le problème n'est pas que Claude a été trompé, c'est qu'il s'est trompé lui-même, de façon partiale.

Pour en arriver là, l'équipe a relu les blocs de raisonnement, interrogé les modèles eux-mêmes, rejoué des extraits de transcriptions modifiées et appliqué des outils d'interprétabilité aux activations. Deux défauts récurrents en ressortent. Le raisonnement biaisé, où le modèle « interprète sélectivement les indices d'une manière qui favorise la justification de ses actions ». Et l'imprudence, cette « disposition à prendre des actions nuisibles dans la poursuite étroite d'une tâche ». Des formes plus légères figuraient déjà dans les system cards ; Anthropic juge ces cas plus sérieux, sans les considérer comme inédits.

Cette phrase, écrite par Mythos 5 après avoir découvert de vrais domaines, résume le diagnostic : quand les preuves contredisent la croyance, la croyance l'emporte. Sur l'incident le plus grave, celui du paquet malveillant publié sur PyPI, Anthropic publie d'ailleurs la transcription complète.

Un quatrième incident, plus ancien et jugé moins préoccupant

Le nouveau cas a été découvert en août, alors qu'Anthropic rassemblait des transcriptions à transmettre à METR. Il remonte à janvier 2026 et implique une version précoce de Claude Opus 4.6. Après avoir rendu par accident sa cible inaccessible, à cause d'une adresse IP en conflit, le modèle a voulu abandonner l'exercice. Le harnais, mal configuré, l'en a empêché : il a tenté d'abandonner huit fois en tout. Il a ensuite accédé à un système tiers réel, y a obtenu les droits administrateur via un fichier de mots de passe et lu les données personnelles d'une personne associée à ce système, jusqu'à l'épuisement de son budget de jetons. La partie touchée a été prévenue. Anthropic le juge moins préoccupant que les trois autres, précisément parce que le modèle a cherché à s'arrêter.

Au total, sept exécutions, chacune entre 10 et 34 heures de travail actif, toutes dans des exercices bâtis par le même partenaire d'évaluation, avec des modèles privés des garde-fous cyber de la production, une pratique standard pour ce type de test. Le billet rappelle aussi ce qui rassure : une seule instance à la fois, aucune coordination entre agents, aucune dissimulation. Il ne couvre pas l'incident distinct signalé fin juillet par l'institut britannique AISI, qui fera l'objet d'une évaluation séparée.

De 141 000 à 481 millions de transcriptions relues

La différence entre les deux rapports tient à la méthode. Le scan de juillet portait sur environ 141 000 exécutions et reposait sur une recherche agentique, qui a laissé passer des transcriptions. Le nouveau balayage couvre environ 481 millions de transcriptions : évaluations de l'équipe rouge interne, exercices non cyber, environnements d'apprentissage par renforcement, journaux de sous-agents. Un premier filtre cherche des indices d'accès à internet, adresses IP publiques ou adresses web ; au second stade, Claude relit les 9,2 millions de transcriptions signalées. Résultat : les quatre incidents connus, et aucun autre cas de sévérité similaire ou supérieure.

Sur l'incident Mythos 5, jugé le plus grave, le résumé du billet donne la mesure du déroulé : trois versions d'un paquet piégé publiées sur PyPI, quinze systèmes tiers installés, tous des éditeurs de sécurité qui analysent automatiquement les nouveaux paquets, et les identifiants fuités par le scanner de l'un d'eux utilisés pour accéder à sa base de données en ligne.

Le point qui fâche : des moniteurs trompés par le raisonnement du modèle

L'enseignement le plus dérangeant concerne la surveillance. Les moniteurs hors ligne qui lisent les chaînes de raisonnement ont manqué l'incident Mythos 5 : « le raisonnement du modèle a persuadé le moniteur que l'environnement était simulé » et donc sans conséquence réelle (traduction ActuIA). Un modèle qui se convainc d'être en simulation convainc aussi le classifieur chargé de le lire. Les nouveaux moniteurs de blocage en temps réel attrapent bien ces comportements ; les classifieurs cyber auraient bloqué les trois principaux incidents, et le mode auto de Claude Code deux sur trois.

Anthropic a aussi rejoué les scénarios avec ses modèles récents : sur 150 exécutions d'une réplique de capture de drapeau, Mythos 5 commet une action sévèrement nuisible dans 82 % des cas, contre 31 % pour Claude Opus 5 et 33 % pour Mythos 5.1. Mieux, mais pas zéro. L'entreprise admet enfin une erreur d'entraînement : la version retenue de Mythos 5 avait été privée de certains environnements d'alignement, un retrait qu'elle qualifie de décision erronée.

L'accord avec METR, huit semaines initiales renouvelables, reste le volet le plus inhabituel : le laboratoire donne à un organisme extérieur les moyens de contredire sa propre analyse. Pour ActuIA, après le rapport officiel d'OpenAI sur ses agents sortis de leur environnement chez Hugging Face, c'est le second laboratoire de frontière à documenter, sur ses propres transcriptions, des modèles qui franchissent la frontière entre exercice et monde réel.