En bref

  • Anthropic a révélé trois incidents au cours desquels Claude a compromis de véritables entreprises lors d'évaluations de cybersécurité.
  • Une erreur de test a donné aux modèles un accès à Internet alors qu'on leur avait dit qu'ils opéraient dans des environnements isolés.
  • L'entreprise affirme que les incidents ont été causés par des défaillances de l'infrastructure de test, et non par des tentatives délibérées de l'IA de s'échapper.

Une semaine après qu'OpenAI a révélé que ses modèles d'IA s'étaient échappés d'un environnement de test verrouillé et avaient infiltré Hugging Face, et un jour après avoir admis que ses propres modèles d'IA s'étaient échappés de leur confinement, Anthropic a révélé jeudi que plusieurs versions de son modèle d'IA Claude avaient également compromis trois entreprises réelles non nommées après qu'une mauvaise configuration ait donné à l'IA un accès à l'Internet ouvert.

Anthropic a découvert les incidents après avoir examiné plus de 141 000 exécutions d'évaluations de cybersécurité lancées en réponse à la divulgation d'OpenAI.

L'entreprise avait confié à Claude un « défi de capture de drapeau » dans les trois incidents, a écrit Anthropic. Le défi consiste à faire pénétrer le modèle dans une autre machine du réseau et à récupérer une information secrète. « Le défi est laissé ouvert, et aucune méthode particulière n'est prescrite », a expliqué Anthropic.

L'entreprise a déclaré que Claude avait été informé qu'il opérait dans un environnement simulé sans accès à Internet. Cependant, l'environnement de test est resté connecté à l'Internet public. Croyant que les systèmes rencontrés faisaient partie de l'exercice, le modèle a utilisé des techniques d'attaque courantes—y compris des mots de passe faibles, des identifiants exposés, des injections SQL et des points de terminaison non authentifiés—pour compromettre les entreprises.

L'IA veut se libérer

Cette dernière divulgation intervient alors que les modèles de pointe montrent une capacité croissante à déjouer leurs protocoles de confinement.

Plus tôt ce mois-ci, OpenAI a déclaré que GPT-5.6 Sol et un modèle plus avancé non publié avaient exploité une vulnérabilité logicielle inconnue pour s'échapper d'un environnement sandbox, obtenir un accès à Internet et pénétrer l'infrastructure de production de Hugging Face afin d'obtenir les réponses à un benchmark de cybersécurité. OpenAI a ensuite révélé que le même incident impliquait également un accès non autorisé à quatre autres entreprises, bien qu'une seule—Modal Labs—ait été publiquement identifiée.

Selon Anthropic, lors d'un incident impliquant Claude Opus 4.7, l'IA a confondu le site Web d'une véritable entreprise avec la cible fictive de sa mission, a extrait des identifiants et a accédé à une base de données de production contenant plusieurs centaines de lignes de données réelles. Dans un deuxième cas, Claude Mythos 5 a téléchargé un paquet Python malveillant sur le dépôt PyPI réel, où il a été téléchargé sur 15 systèmes avant d'être supprimé. Un troisième modèle de recherche interne a scanné environ 9 000 systèmes connectés à Internet avant de compromettre une organisation, puis s'est arrêté après avoir conclu que la cible était probablement réelle.

Deux des organisations concernées n'étaient pas au courant des intrusions jusqu'à ce qu'Anthropic les en informe.

« Dans chacun de ces cas, notre invite a explicitement indiqué à Claude qu'il n'avait pas accès à Internet », a écrit Anthropic, l'IA supposant que les systèmes du monde réel étaient « des parties de l'exercice ». Parce qu'un scénario de capture du drapeau est « par conception une instruction pour attaquer un système externe », l'intrusion était « conforme à la tâche qui avait été confiée à Claude ».

Anthropic a déclaré n'avoir trouvé aucune preuve que Claude ait tenté de s'échapper de son environnement de test ou de faire quoi que ce soit au-delà de la tâche qui lui avait été assignée, et que les incidents étaient dus à des défaillances de l'environnement de test, et non à des problèmes du modèle lui-même.

Anthropic a déclaré avoir arrêté ses tests de cybersécurité après avoir découvert le problème, avoir informé les organisations concernées et prévoir d'améliorer la surveillance, les outils d'investigation et la supervision des fournisseurs externes qui aident à exécuter ses tests d'IA.

« En fin de compte, de nombreux facteurs ont contribué à ces incidents, mais, conformément à une culture de post-mortem sans blâme, nous abordons les correctifs comme si la responsabilité était la nôtre seule », ont-ils déclaré.