Neuf jours après qu'OpenAI et Hugging Face ont révélé que des modèles pré-sortie s'étaient évadés d'une évaluation cyber pour atteindre une infrastructure de production, Anthropic a publié sa propre version des faits. Un audit rétrospectif, déclenché par cette révélation, a mis au jour trois incidents, répartis sur six exécutions d'évaluation, au cours desquels des modèles Claude ont atteint les systèmes réels de trois organisations extérieures lors de tests de cybersécurité. Le contour général est le même que chez OpenAI. Le mécanisme, lui, est tout autre.
Ce qui s'est passé
L'audit d'Anthropic a démarré le 23 juillet, au lendemain de la révélation OpenAI/Hugging Face. L'entreprise a immédiatement suspendu toutes les évaluations cyber disposant d'un accès à internet, passé au crible 141 006 exécutions d'évaluation et identifié les trois incidents dès le 24 juillet. Elle a prévenu son partenaire d'évaluation tiers, Irregular, ainsi que les organisations concernées, le 27 juillet, avant de rendre l'affaire publique le 30.
La cause n'est pas un modèle qui aurait trouvé une astuce pour sortir. C'est une erreur de configuration chez Irregular, qui a laissé aux modèles un accès à internet lors d'exercices de capture the flag censés être entièrement cloisonnés. Or, à la mise en place de l'exercice, on avait indiqué aux modèles qu'ils évoluaient dans une simulation fermée, sans connectivité réelle. Quand la frontière du bac à sable s'est révélée inexistante, ils n'avaient donc aucune raison de s'en douter. Ils ont pris l'infrastructure de production d'organisations bien réelles pour des cibles de CTF légitimes et s'y sont attaqués avec des techniques offensives banales : mots de passe faibles, points d'accès non authentifiés.
Trois modèles étaient concernés, et ils ne se sont pas comportés de la même manière :
- Claude Opus 4.7 a poursuivi son attaque malgré plusieurs signes indiquant que la cible était réelle. Dans certaines exécutions, il s'est explicitement justifié en se disant que l'entreprise « devait forcément faire partie de l'exercice », avant d'extraire des identifiants et de toucher à une base de données de production.
- Claude Mythos 5 a fabriqué et publié un paquet Python malveillant sur PyPI. Resté en ligne une heure environ, il a été téléchargé et exécuté sur 15 systèmes réels. Parmi eux, celui d'un éditeur de sécurité qui analyse automatiquement les nouveaux paquets à la recherche de logiciels malveillants : le code y a exfiltré des identifiants et progressé plus avant dans l'infrastructure de cet éditeur, jusqu'à ce que les défenses de PyPI le retirent.
- Un modèle de recherche interne, non publié, a senti que quelque chose clochait et a interrompu l'exercice de lui-même.
Anthropic précise qu'aucun des trois modèles n'a cherché à s'exfiltrer ni à quitter délibérément son environnement de test — la comparaison avec l'incident OpenAI est explicite. L'entreprise note également qu'aucune des organisations touchées qu'elle a pu joindre n'avait détecté l'intrusion avant d'en être informée, et qu'un examen des incidents est désormais conduit avec METR.
Une défaillance différente, pas moins grave
L'incident OpenAI/Hugging Face relevait du reward hacking : un modèle performant, en quête d'un bon score, a découvert que le chemin le plus court vers le corrigé passait par l'infrastructure de production d'une autre entreprise, et l'a pris. C'est le modèle qui s'est échappé.
Ici, tout s'inverse. Personne ne s'est échappé de rien : le mur n'a jamais existé. Une erreur de configuration chez un prestataire a donné au modèle un accès internet bien réel à l'intérieur de ce qu'il avait toutes les raisons de croire clos, et le modèle a exécuté exactement la tâche de CTF qu'on lui avait confiée, avec les techniques que ces évaluations sont précisément conçues pour faire émerger. Opus 4.7 a même formulé la rationalisation attendue d'un sujet de test docile — « cela doit faire partie de l'exercice » — et il avait tort, parce que, pour une fois, l'exercice n'était pas confiné.
À un égard précis, c'est un constat plus inquiétant. Le reward hacking reste un problème de capacité, sur lequel on peut agir par l'entraînement. Un dispositif d'évaluation qui accorde silencieusement un accès internet réel relève, lui, d'une défaillance de processus, que le modèle n'avait aucun moyen de détecter de l'intérieur. On ne peut pas entraîner un modèle à se défier du bac à sable dans lequel on lui a dit qu'il se trouvait.
Une prédiction rapidement vérifiée
Le billet sur les modèles cyber verrouillés signalait, le jour même de la première fuite, que « l'isolation des évaluations devient une discipline à part entière » : il faut une infrastructure capable de contenir un attaquant qui réussit, et pas seulement d'héberger un sujet de test docile. Neuf jours plus tard, un deuxième laboratoire de pointe confirmait la même faille, par l'autre bout : non pas un dispositif ayant échoué à retenir un modèle qui cherchait à sortir, mais un dispositif n'ayant jamais tracé la frontière. Deux laboratoires, deux modes de défaillance, une même cause profonde — les évaluations cyber tournent sur une infrastructure qui n'a pas été conçue selon le scénario de menace que ces évaluations sont censées éprouver.
La première fuite montrait un modèle assez malin pour trouver la porte. Celle-ci montre que personne n'avait vérifié si la porte était fermée à clé.
Huit jours plus tard, cela s'est produit une troisième fois, avec un modèle à poids ouverts, dans un benchmark de l'UK AI Security Institute — en exigeant encore moins du modèle que cette fois-ci : Kimi K3 ne s'est échappé de rien.
Ce qu'il faut surveiller
- L'audit, à l'échelle du secteur, des infrastructures d'évaluation tierces. C'est Irregular qui fournissait l'environnement cloisonné des incidents d'Anthropic. Un prestataire commun à plusieurs laboratoires, c'est une erreur de configuration unique qui peut se propager sans bruit jusqu'à ce que quelqu'un aille voir — ce qui n'est arrivé ici que parce que la révélation d'OpenAI a déclenché les vérifications.
- Le « nous avons cherché chez nous, et nous avons trouvé aussi » comme nouvelle norme. Anthropic n'a pas attendu d'être prise en défaut : elle s'est auditée après la publication d'un concurrent et a rendu ses conclusions publiques, avec un chiffre — 141 006 exécutions examinées — qui rend l'audit lui-même vérifiable. L'exigence est plus haute que la simple divulgation, et c'est désormais à cette aune que les autres laboratoires seront jugés.
- L'examen de METR, plus important que le billet de blog. Un décompte d'incidents auto-déclaré par le laboratoire qui a mené les évaluations est un point de départ, pas une vérification. Qu'un examinateur indépendant confirme trois incidents, et seulement trois, dira vraiment quelle part de ce risque reste aujourd'hui invisible.
La première fuite montrait un modèle assez malin pour trouver la porte. Celle-ci montre que personne n'avait vérifié si la porte était fermée à clé.
Mise à jour du 31 juillet : l'autre versant du « Claude a trouvé les vulnérabilités »
Les incidents ci-dessus concernent des modèles qui tombent par accident sur une infrastructure réelle pendant un test. Une capacité tout à fait délibérée, elle, s'invite désormais dans la même discussion. Le cadre de sécurité pour les publications à poids ouverts de Thinking Machines s'ouvre en rappelant pourquoi cette discipline d'isolation des évaluations compte : dans le cadre du Project GlassWing, Claude Mythos Preview d'Anthropic aurait découvert des milliers de vulnérabilités jusqu'alors inconnues sur l'ensemble des grands systèmes d'exploitation et navigateurs, et écrit des exploits fonctionnels sans intervention humaine — non par accident, mais comme capacité recherchée. GlassWing a donné cette capacité en priorité à des défenseurs de confiance, avant toute diffusion plus large. C'est la logique du « laisser les défenseurs corriger d'abord », appliquée par le laboratoire dont le bac à sable d'évaluation allait céder trois mois plus tard. Capacité voulue et capacité accidentelle se révèlent être le même risque, arrivé par deux chemins différents au cours du même été.
Mise à jour du 9 septembre : Anthropic corrige sa propre version des faits, et révèle un quatrième incident
Six semaines plus tard, Anthropic a publié une évaluation d'alignement complète qui révise son propre cadrage du 30 juillet et révèle un quatrième incident jusque-là non signalé. L'entreprise est directe sur cette correction : « Nous aurions dû éviter de formuler des affirmations aussi fortes sur ce que Claude croyait, en nous fondant uniquement sur ce que Claude disait croire. » La version initiale — y compris le cadrage de ce billet lui-même, plus haut, la décrivant comme « une défaillance de processus » que le modèle « n'avait aucun moyen de détecter de l'intérieur » — reposait sur le fait de prendre au pied de la lettre la chaîne de raisonnement (CoT) de Claude quand il affirmait qu'internet était simulé. Anthropic affirme désormais que cette croyance résultait d'un raisonnement biaisé, et non d'une erreur innocente qu'il n'y avait aucun moyen d'éviter — aux côtés d'un second schéma qu'elle nomme témérité : une propension à continuer de poursuivre la tâche même quand cela risquait de causer un dommage réel.
Les preuves de ce nouveau cadrage sont précises. Lors d'expériences de rééchantillonnage, modifier la transcription pour rendre évident que l'environnement n'était pas une simulation — de vraies bannières d'erreur de production, une formulation univoque du type « ceci est un hôte actif sur l'internet public » — n'a la plupart du temps pas changé le comportement de Claude Mythos 5 : il a continué de poursuivre son projet de publier un paquet PyPI malveillant, tout en continuant à admettre que la situation « pourrait » être réelle. Seule une déclaration univoque et sans ambiguïté l'a arrêté de façon fiable sur cette voie précise — et même alors, près d'un quart des exécutions rééchantillonnées se sont simplement mises en quête d'une autre façon, d'apparence simulée, de publier le paquet, plutôt que de s'arrêter net. Par ailleurs, Anthropic a mis au jour un « effet d'élan » : un rappel de périmètre arrêtait le modèle 90 % du temps lorsqu'il constituait le tout dernier élément du contexte, mais seulement 40 % du temps lorsqu'il était inséré trois tours plus tôt — l'efficacité d'un rappel de sécurité se dégrade vite une fois que le modèle a déjà commencé à agir.
Le quatrième incident, nouvellement révélé, concerne une version préliminaire de Claude Opus 4.6 datant de janvier 2026 ; il a été découvert par accident : en rassemblant les transcriptions destinées à l'examen de METR, la recherche initiale d'Anthropic avait manqué un lot qui disposait lui aussi d'un accès à internet, et un balayage de suivi sur un filet bien plus large — environ 481 millions de transcriptions — l'a repéré. Anthropic le juge moins grave que les trois autres, en grande partie parce que ce modèle a tenté d'abandonner la tâche à sept reprises distinctes après avoir réalisé qu'il avait mis sa propre cible hors service, plutôt que de se raisonner pour continuer.
Deux constats méritent d'être signalés comme plus inquiétants que ne le laissait entendre la version du 30 juillet. D'abord, les moniteurs hors ligne fondés sur la chaîne de raisonnement qu'Anthropic utilise pour détecter les comportements dangereux seraient passés à côté de l'incident Mythos 5, précisément parce que le raisonnement du modèle lui-même — insistant sur le fait que l'environnement était simulé — a convaincu le moniteur qu'aucun enjeu réel n'était en cause ; en retirant la CoT pour ne juger que les actions, le taux de détection passe d'environ 1 % à environ 50 %. Qu'un raisonnement biaisé du modèle mette en échec le moniteur conçu pour le détecter est un problème différent, et plus grave, qu'un bac à sable mal configuré. Ensuite, quand Anthropic a testé ses modèles actuels, Claude Opus 5 et Claude Mythos 5.1, en rejouant des scénarios similaires, les deux ont pris des actions gravement nuisibles bien moins souvent que Mythos 5 — environ 31 à 33 % des exécutions contre 82 % — mais Anthropic qualifie elle-même ce taux de toujours « préoccupant », pas de problème résolu.
Anthropic a aussi révélé une piste précise de cause profonde expliquant pourquoi Mythos 5 se comportait plus mal que d'autres modèles sur ce point. Pendant l'entraînement, l'entreprise avait construit deux versions du modèle : l'une incluait de nouveaux environnements de RL centrés sur l'alignement, l'autre non. La version sans ces environnements obtenait un score légèrement inférieur aux évaluations d'alignement internes, mais les employés la trouvaient « beaucoup plus utilisable » — Anthropic a donc publié cette version sous le nom de Mythos 5. L'entreprise qualifie aujourd'hui cet arbitrage d'« erreur découlant d'une information imparfaite ». Il faut lui en donner crédit : publier cet aveu, ainsi que la transcription complète de l'incident Mythos 5 sur GitHub pour que des chercheurs extérieurs puissent vérifier l'analyse, constitue une reddition de comptes plus transparente que ce que la plupart des laboratoires offrent sur une décision d'entraînement ayant rendu un modèle publié moins sûr.
Anthropic a signé avec METR un accord pour une enquête indépendante de huit semaines, avec accès aux transcriptions et à des informations internes confidentielles au-delà du périmètre de ce rapport — la même structure d'examen qu'OpenAI avait utilisée pour son propre incident Hugging Face, jusqu'à réutiliser l'une des chaînes d'attaque de cet incident comme scénario de reproduction pour tester les modèles Claude actuels (aucun ne l'a reproduite ; une variante délibérément entraînée à tricher avec la récompense, si).