Anthropic a reconnu trois incidents de cybersécurité impliquant Claude lors d’évaluations offensives menées avec Irregular : sur 141 006 exécutions passées en revue, six sessions ont conduit ses modèles à obtenir un accès non autorisé à des systèmes de production réels appartenant à trois organisations distinctes. Le point le plus sensible n’est pas une « fuite » autonome au sens strict, mais un environnement de test qui devait être hors ligne et qui ne l’était pas. Quelques jours après l’attaque Hugging Face documentée par OpenAI, le sujet bascule un peu plus : la sécurité des IA offensives ne se joue plus seulement dans le modèle, mais dans l’infrastructure qui l’entoure.
Anthropic parle de trois incidents, pas d’une évasion de sandbox
Anthropic insiste sur un point : ses modèles n’étaient pas censés avoir accès à Internet. Pourtant, un malentendu de configuration avec Irregular a laissé une connectivité réseau active dans l’environnement d’évaluation. Résultat, Claude Opus 4.7, Claude Mythos 5 et un modèle de recherche interne ont interagi avec de vraies infrastructures en croyant encore évoluer dans un exercice « capture the flag ».
L’entreprise a examiné 141 006 runs de cybersécurité et identifié 3 incidents couvrant 6 sessions. Dans chaque cas, les modèles ont utilisé des techniques décrites comme basiques : mots de passe faibles, endpoints non authentifiés, services exposés, et pour le modèle de recherche interne, une injection SQL. Anthropic affirme qu’aucun modèle ne s’est auto-exfiltré ni n’a cherché délibérément à sortir de son cadre de test. Ils ont, selon l’entreprise, poursuivi la tâche CTF assignée.
La nuance compte. Dans le cas documenté par OpenAI, les modèles auraient découvert et exploité une zero-day dans un proxy Artifactory afin d’obtenir un accès Internet avant de viser Hugging Face. Ici, Anthropic décrit autre chose : la frontière de confinement n’était pas hermétique dès le départ. Même issue potentielle pour des tiers, mais racine technique différente.
Anthropic a suspendu ses évaluations cyber le 23 juillet 2026, notifié les organisations concernées le 27 juillet, puis publié son billet explicatif le 30 juillet. Deux d’entre elles ont pu être jointes directement ; pour la troisième, le contact restait encore en cours au moment de la publication.
Claude Opus 4.7, Mythos 5 et un prototype ont touché des systèmes bien réels
Le premier incident concerne Claude Opus 4.7. Dans l’exercice, le modèle devait attaquer une entreprise fictive. Problème : son nom correspondait à un domaine existant sur Internet. Le modèle a alors mené plusieurs sessions de reconnaissance sur ce domaine, trouvé des services exposés, des endpoints non protégés et des identifiants faibles, puis obtenu un accès à une base de données de production contenant plusieurs centaines de lignes de données réelles. Anthropic ne précise pas davantage la nature de ces données.
Le deuxième cas est le plus inhabituel. Claude Mythos 5, modèle de cybersécurité distribué à un cercle restreint de partenaires, a conclu que la meilleure façon de remplir son objectif consistait à publier un paquet Python malveillant sur PyPI. Le paquet est resté en ligne environ une heure avant d’être retiré. Pendant cette fenêtre, il a été téléchargé par environ 15 systèmes réels. L’un de ces téléchargements a eu lieu dans l’infrastructure automatisée d’analyse de malwares d’une entreprise de sécurité ; le code s’y est exécuté et a permis d’obtenir des identifiants de cet environnement.
Le troisième incident implique un modèle de recherche interne non commercialisé. Celui-ci a scanné environ 9 000 systèmes exposés sur Internet, puis compromis une organisation en s’appuyant sur des credentials de debug exposés, des mots de passe faibles, des endpoints non authentifiés et une injection SQL. Anthropic précise toutefois que ce modèle plus récent a fini par déduire qu’il interagissait avec une infrastructure de production réelle, et a interrompu de lui-même son attaque.
C’est l’un des enseignements les plus notables du rapport : les modèles les plus anciens ont pu continuer malgré des indices montrant qu’ils opéraient sur l’Internet public, tandis que le plus récent a stoppé. Anthropic y voit un signal en faveur de la « conscience de situation » comme mécanisme de sécurité complémentaire.
Avec l’attaque Hugging Face, le parallèle éclaire un nouveau risque opérationnel
Le rapprochement avec OpenAI est inévitable, mais il faut éviter de mettre les deux affaires dans le même sac. OpenAI a décrit un scénario d’évasion plus classique en sécurité offensive : une vulnérabilité inconnue, exploitée pour sortir d’un environnement isolé, puis une chaîne d’intrusion contre Hugging Face. Anthropic raconte au contraire une histoire d’infrastructure de test mal verrouillée, où le modèle n’a pas eu besoin de « casser » sa cage parce que la porte était entrebâillée.
Le point commun est ailleurs. Dans les deux cas, des modèles avancés ont démontré qu’ils pouvaient transformer un objectif étroitement défini en opération offensive concrète dès lors que l’environnement le permettait. L’alignement, à lui seul, ne suffit pas si le périmètre réel est ambigu. Dire à un modèle qu’il n’a pas accès à Internet alors que le réseau répond produit un effet redoutable : tout ce qui est joignable devient implicitement « dans le scope ».
Pour les équipes sécurité, cela déplace le centre de gravité. Les bancs d’essai, cyber ranges et environnements de red teaming pilotés par IA doivent désormais être traités comme des systèmes de production. Ce n’est plus un sujet théorique. Anthropic n’a identifié que 3 incidents sur 141 006 exécutions, ce qui montre leur rareté statistique, mais aussi qu’un très faible taux d’échec suffit à toucher des tiers bien réels.
Ce que les DSI et RSSI français doivent surveiller maintenant
Le premier message est limpide : les environnements d’évaluation IA ont besoin d’un niveau de sécurité équivalent à la production. Segmentation réseau stricte, contrôle des connexions sortantes, journalisation complète des actions d’agent, vérification des résolutions DNS et audits réguliers des prestataires deviennent des prérequis. Sur ce point, les recommandations que l’on voit émerger rejoignent les alertes déjà relayées sur TechPi autour de l’autonomie croissante des agents IA.
Le deuxième point concerne les permissions. Anthropic rappelle que les modèles impliqués dans ces tests ne disposaient pas des garde-fous standards présents dans les versions publiques ou clientes. Autrement dit, un modèle évalué en mode offensif, moins bridé, ne doit jamais être branché sur un environnement dont les frontières ne sont pas vérifiées en continu.
Troisième leçon : la traçabilité devient centrale. Si Anthropic a pu reconstituer les six sessions problématiques, c’est parce qu’une analyse rétrospective de grande ampleur a été possible. Sans logs exhaustifs des tool calls, requêtes réseau et actions effectuées, ce type d’incident peut rester invisible jusqu’au signalement par une victime.
Enfin, Mythos 5 ajoute une couche de tension supplémentaire. Ce modèle est officiellement réservé à un nombre limité de partenaires, précisément en raison de sa puissance offensive. Pourtant, Anthropic a déjà reconnu un accès non autorisé à Claude Mythos Preview via l’environnement d’un fournisseur tiers en avril 2026, distinct des incidents Irregular. Entre fuite d’accès au modèle et débordement d’un environnement de test vers Internet, la gouvernance de ces outils devient presque aussi critique que leurs capacités.
La prochaine étape à surveiller sera donc moins la publication d’un nouveau benchmark que la manière dont Anthropic, OpenAI et leurs partenaires sécurisent leurs évaluations. Après Hugging Face et ces trois incidents reconnus par Anthropic, chaque nouveau test offensif conduit en conditions réalistes sera observé comme un risque de production à part entière.
