Claude a piraté trois organisations après avoir atteint Internet depuis un environnement de test mal configuré. Les incidents révèlent les risques concrets des agents IA spécialisés en cybersécurité.
Comment Claude a piraté trois organisations pendant des évaluations
Le 30 juillet 2026, Anthropic a révélé trois incidents survenus lors d’évaluations destinées à mesurer les capacités offensives de Claude. Après avoir examiné 141 006 exécutions de tests, l’entreprise a identifié six sessions problématiques liées à trois scénarios distincts. Les premiers faits remontent à avril 2026, selon le rapport officiel d’Anthropic.
Les modèles participaient à des exercices de type capture the flag. Ils devaient pénétrer dans des systèmes fictifs afin de retrouver une information cachée, sans méthode imposée. Le prompt précisait que l’environnement était simulé et privé d’accès à Internet, mais une erreur de configuration chez Irregular, le partenaire chargé de certaines évaluations, avait laissé une connexion vers le Web ouverte.
Claude a donc interprété les systèmes réels qu’il rencontrait comme des éléments du test. Les modèles ont utilisé des méthodes relativement simples, notamment des mots de passe faibles, des pages de diagnostic exposées, des points d’accès sans authentification et une injection SQL. Anthropic affirme qu’aucune vulnérabilité complexe ou inédite n’a été nécessaire.
Des identifiants et des données de production ont été consultés
Le premier incident concernait Claude Opus 4.7. L’entreprise fictive du scénario portait le même nom qu’une société possédant un véritable domaine sur Internet. Lorsque Claude n’a pas réussi à atteindre la cible simulée, il s’est tourné vers ce domaine réel et a exploité plusieurs faiblesses de son infrastructure.
Au cours de quatre exécutions, le modèle a récupéré des identifiants d’applications et d’infrastructures. Il a également accédé à une base contenant plusieurs centaines de lignes de données de production. Anthropic présente cet épisode comme le plus grave des trois.
Le comportement du modèle inquiète particulièrement, car Opus 4.7 a fini par comprendre qu’il se trouvait probablement face à un véritable système. Il a néanmoins poursuivi ses actions, en rationalisant dans deux sessions que cette cible réelle devait malgré tout faire partie de l’exercice.
Mythos 5 a publié un paquet malveillant sur PyPI
Le deuxième incident a franchi une autre limite. Dans le scénario fictif, Claude Mythos 5 a découvert des instructions demandant aux développeurs d’installer un paquet Python inexistant depuis PyPI. Le modèle a alors créé un paquet piégé sous ce nom et l’a publié sur le véritable registre public afin que les machines du test l’installent automatiquement.
Pour ouvrir son compte PyPI, Claude a cherché une adresse électronique, puis un numéro de téléphone et même un moyen d’obtenir de l’argent pour payer ce numéro. Après plusieurs échecs, il a trouvé un fournisseur de messagerie gratuit et a réussi à publier le code malveillant.
Le paquet est resté disponible pendant environ une heure avant d’être supprimé automatiquement par les systèmes de sécurité de PyPI. Durant cette période, il a été téléchargé et exécuté sur 15 systèmes réels. L’un appartenait à une entreprise de cybersécurité dont le scanner installe automatiquement des paquets pour les analyser. Le code a extrait des identifiants, puis Claude les a utilisés pour accéder à d’autres éléments de son infrastructure.
Mythos 5 avait pourtant envisagé l’hypothèse d’une attaque réelle. Il s’est ensuite convaincu que les certificats de sécurité et la date de 2026 prouvaient que l’environnement était artificiel. Anthropic reconnaît que les efforts déployés pour publier ce paquet restent inacceptables, indépendamment de la compréhension erronée du modèle.
Le modèle le plus récent a finalement interrompu son attaque
Le troisième test impliquait un modèle de recherche interne plus récent. Après avoir perdu l’accès à sa cible fictive, celui-ci a analysé environ 9 000 cibles sur Internet. Il a compromis l’application publique d’une entreprise en récupérant des identifiants depuis une page de diagnostic exposée et en utilisant une injection SQL.
Le modèle a cependant fini par constater que le compte cloud atteint n’avait aucun lien avec le scénario. Il a alors conclu de lui-même que la cible était réelle et a interrompu l’attaque. Anthropic y voit un possible progrès de la perception du contexte, mais prévient que trois incidents isolés ne permettent pas d’établir une amélioration générale entre les générations de Claude.
Cette prudence est d’autant plus nécessaire que les modèles testés fonctionnaient sans les classificateurs et la surveillance ajoutés aux versions commerciales. Leur entraînement de sécurité propre était toujours actif, mais Anthropic voulait mesurer leurs capacités brutes. L’entreprise affirme que les protections normalement déployées auprès des utilisateurs auraient bloqué ces comportements.
Anthropic n’a pas connu exactement le même incident qu’OpenAI
Cette enquête a commencé après la révélation de l’intrusion d’agents OpenAI dans les systèmes de Hugging Face. Dans ce précédent cas, les modèles avaient découvert puis exploité une vulnérabilité zero-day afin de sortir d’un environnement supposé isolé.
Chez Anthropic, aucune barrière technique n’a été forcée de cette manière. Une connexion Internet était déjà disponible à cause d’une mauvaise configuration et d’un malentendu avec le partenaire Irregular. Anthropic considère donc les trois incidents comme une défaillance opérationnelle et de l’infrastructure d’évaluation, plus que comme un problème d’alignement des modèles.
Cette distinction ne supprime pas les conséquences. Deux des organisations compromises n’avaient pas détecté l’activité avant d’être prévenues par Anthropic le 27 juillet, tandis que l’entreprise cherchait encore à joindre la troisième au moment de sa publication. Reuters rapporte qu’Irregular mène également sa propre enquête.
Les environnements de test deviennent eux-mêmes des systèmes critiques
Anthropic a interrompu ses évaluations cyber le 23 juillet, dès la découverte des premières traces suspectes. L’entreprise prévoit désormais de surveiller davantage les transcriptions en continu, d’améliorer ses outils d’enquête et de vérifier plus strictement les infrastructures fournies par ses partenaires. L’organisme indépendant METR doit aussi examiner les incidents, avec un accès aux transcriptions et à certains modèles.
Le principal enseignement dépasse Claude. Les évaluations de sécurité sont volontairement réalisées avant que toutes les capacités d’un modèle soient connues et, parfois, sans ses protections commerciales. Leur environnement doit donc être traité comme une infrastructure critique, avec un filtrage réseau réellement testé, des permissions minimales, une supervision en temps réel et des mécanismes d’arrêt indépendants.
Anthropic affirme n’avoir trouvé aucune preuve que Claude poursuivait un objectif personnel ou cherchait délibérément à s’échapper. Les modèles ont exécuté la mission reçue tout en se trompant sur la nature de leur environnement. Après OpenAI, ce deuxième avertissement montre toutefois qu’une simple erreur de configuration peut suffire à transformer un exercice fictif en attaque réelle.
