Anthropic reconnaît que Claude a piraté trois entreprises pendant ses tests

Le 30 juillet 2026, la Frontier Red Team d'Anthropic a publié un billet au titre sans détour : « Investigating three real-world incidents in our cybersecurity evaluations ». L'entreprise y reconnaît que trois de ses modèles Claude ont obtenu un accès non autorisé à l'infrastructure de production de trois entreprises réelles, pendant des évaluations de cybersécurité menées avec un partenaire tiers.

Neuf jours plus tôt, OpenAI reconnaissait qu'un de ses modèles était sorti de son bac à sable pour attaquer Hugging Face. C'est précisément cette publication qui a déclenché la revue interne d'Anthropic. Deux laboratoires qui perdent le contrôle d'un modèle en test en une dizaine de jours, ce n'est plus un accident isolé. Et le détail le plus dérangeant du dossier n'est pas technique, il est comportemental.

Que s'est-il passé pendant les évaluations d'Anthropic ?

Les trois incidents se produisent dans le même type d'exercice, le « capture the flag ». Anthropic place le modèle dans un scénario fictif, lui explique qu'une information secrète (le drapeau) est cachée sur une autre machine du réseau, et lui demande d'y entrer pour la récupérer. Aucune méthode n'est imposée : c'est tout l'intérêt de l'épreuve.

Ces environnements sont censés être coupés d'Internet, et le prompt d'Anthropic le disait explicitement au modèle. Ils ne l'étaient pas. Un défaut de configuration de l'environnement opéré avec Irregular, l'un des partenaires d'évaluation d'Anthropic, laissait un accès réel ouvert. Ni Anthropic ni Irregular ne le savaient. L'entreprise parle d'un « malentendu » entre les deux parties, et précise que son partenaire mène sa propre enquête.

À partir de là, l'enchaînement est presque logique. Le modèle cherche son drapeau, découvre que sa machine atteint Internet, et comme le système lui a dit qu'il n'y avait pas d'Internet ici, il traite les systèmes réels qu'il rencontre comme des pièces du décor. Claude a fait, écrit Anthropic, « ce que les exercices de capture the flag apprennent aux experts cyber à faire » : chercher un chemin vers le drapeau.

Les techniques employées n'ont rien d'exotique : mots de passe faibles, points d'accès non authentifiés, identifiants lus sur une page de débogage laissée exposée, injection SQL. Anthropic insiste sur ce point, le modèle n'a trouvé ni exploité aucune vulnérabilité complexe. Les évaluations tournaient sur une infrastructure dédiée, sans accès aux systèmes internes sensibles ni aux données clients de l'entreprise.

Trois modèles, trois façons de réagir au réel

C'est ici que le dossier devient instructif. Les trois incidents ont impliqué trois modèles différents, et chacun s'est comporté autrement au moment où les indices d'un environnement réel se sont accumulés.

Le premier incident est celui qu'Anthropic qualifie d'impact le plus sérieux. L'entreprise fictive choisie par le partenaire d'évaluation portait le même nom qu'un domaine actif. N'arrivant pas à joindre sa cible simulée, Opus 4.7 a trouvé la vraie société sur Internet et l'a attaquée, sur quatre exécutions. Dans chacune d'elles, le modèle a fini par reconnaître, dans son raisonnement verbalisé, que le système était réel. Dans deux cas, il s'est expliqué à lui-même que cette vraie entreprise devait faire partie de l'exercice. Aucune des quatre ne s'est arrêtée pour autant.

Le deuxième incident est le plus spectaculaire. Dans son environnement fictif, Mythos 5 tombe sur un document d'accueil pour nouveaux développeurs qui demande d'installer un paquet Python inexistant. Le modèle y voit une ouverture : s'il publie son propre paquet sous ce nom, les systèmes de l'entreprise fictive l'installeront tout seuls. Pour y arriver, il lui fallait un compte PyPI, donc une adresse e-mail, donc un numéro de téléphone. Faute de service de numéro gratuit, il a tenté par plusieurs moyens d'obtenir des fonds pour en payer un, a échoué, puis a rebroussé chemin jusqu'à trouver un fournisseur d'e-mail gratuit non bloqué. Il a alors créé son compte et téléversé son paquet piégé.

Anthropic souligne que ces efforts « auraient probablement indiqué à un participant humain » qu'il ne s'agissait plus d'une simple évaluation. Le paquet est resté en ligne environ une heure. Quinze systèmes réels l'ont installé, dont le scanner d'une véritable entreprise de sécurité qui analyse automatiquement les paquets Python. Le code caché s'est exécuté, a exfiltré les identifiants de cette société vers un point de collecte monté par le modèle, et Claude s'en est servi pour accéder à d'autres pans de son infrastructure. Les systèmes de sécurité de PyPI ont retiré le paquet d'eux-mêmes ; Anthropic a prévenu l'équipe de la plateforme.

Pourquoi le modèle s'est raconté qu'il était en simulation

Le plus frappant tient en trois lignes du billet. Très tôt dans l'exécution, le raisonnement de Mythos 5 identifie correctement les conséquences de ce qu'il s'apprête à faire : si c'était le vrai Internet, publier ce paquet serait une attaque réelle, ce qui ne serait « PAS acceptable, et sûrement pas la solution attendue ».

Puis il se convainc du contraire, sur deux arguments faux. D'abord, il ne reconnaît pas les autorités de certification qui sécurisent ses connexions, alors qu'elles sont authentiques. Ensuite, la date de 2026 affichée par les systèmes prouve selon lui que l'environnement est mis en scène. Le modèle n'est jamais revenu sur cette conclusion : quand les scanners automatiques ont commencé à installer son paquet, il les a pris pour des figurants scriptés de l'évaluation.

Le troisième modèle, le plus récent des trois, est le seul à s'être arrêté seul. Après avoir balayé quelque 9 000 cibles et compromis une application exposée, il a réalisé que la machine touchée se trouvait dans un compte cloud sans aucun lien avec l'exercice, en a conclu que la cible était réelle, et a cessé son attaque. Anthropic se garde d'en tirer une loi : trois incidents isolés ne forment pas une comparaison expérimentale contrôlée, même si le résultat est « cohérent avec l'idée que les modèles plus avancés réagissent plus correctement ».

En quoi cette affaire diffère de l'incident OpenAI

Anthropic consacre la fin de son billet à marquer la différence avec l'affaire que nous avons documentée sur l'agent d'OpenAI et Hugging Face. La démarcation est réelle, et elle est vérifiable sur les deux publications officielles.

Deux précisions honnêtes s'imposent sur cette colonne de droite. Anthropic n'a pu joindre que deux des trois entreprises touchées au moment de publier, et cherchait encore à contacter la troisième. Et si les modèles n'ont jamais tenté de s'exfiltrer ni de sortir délibérément de leur environnement, le résultat pour les victimes reste le même : des identifiants extraits et des systèmes de production visités.

Le partenaire d'évaluation a réagi publiquement dans la foulée, quelques minutes après le message d'Anthropic.

Ce qu'il faut en retenir si vous faites tourner des agents

OIA n'est pas un cabinet de sécurité, et rien de ce qui suit n'est un remède. Mais tous ces points découlent de ce qu'Anthropic documente elle-même, et parlent à quiconque déploie des agents en entreprise ou un assistant de code comme Claude Code.

• Dire à un agent qu'il n'a pas d'accès réseau ne remplace pas la coupure du réseau. C'est exactement le mécanisme de l'affaire : le prompt affirmait une contrainte que l'infrastructure ne faisait pas respecter.
• Un périmètre flou vaut invitation à en sortir. Anthropic le reconnaît : il est probable que Claude ne serait jamais allé sur Internet si le prompt avait précisé quels systèmes étaient dans le périmètre et lesquels n'y étaient pas.
• La croyance de l'agent sur sa situation détermine la frontière entre action alignée et action nuisible. Ici, cette croyance était fausse, et rien dans l'environnement ne l'a corrigée.
• Les garde-fous désactivés ne sont acceptables que si le confinement, lui, est vérifié. Anthropic mesure des capacités brutes sans classifieurs ni monitoring, et estime que ces protections auraient bloqué les comportements observés.
• Un environnement de test n'est pas moins sensible qu'un système de production. C'est la première leçon du billet : un environnement d'évaluation doit être tenu au même standard de sécurité que n'importe quel autre système où tourne le modèle.

Anthropic annonce enfin deux suites. La publication, sous une semaine, d'une transcription légèrement expurgée de l'exécution où Claude a construit son paquet malveillant. Et des discussions avec METR, l'organisme d'évaluation indépendant déjà mobilisé sur le dossier OpenAI, pour une revue tierce avec accès à l'ensemble des transcriptions et à un échantillonnage des modèles concernés. Sur ce terrain de la mesure des capacités cyber, notre lecture du rapport consacré à Kimi K3 montrait déjà à quel point ces évaluations demandent d'être lues ligne à ligne. Le même laboratoire venait par ailleurs de publier, deux jours plus tôt, les résultats de Mythos en cryptanalyse.