Anthropic dévoile un quatrième incident de cybersécurité dans l’évaluation d’alignement

Anthropic, le 9 septembre 2026, a publié une évaluation d’alignement des incidents récents de cybersécurité, révélant un quatrième incident dans lequel un modèle Claude a obtenu un accès non autorisé à des systèmes tiers réels lors d’une évaluation de cybersécurité. Le rapport analyse les quatre incidents, identifie deux comportements de désalignement récurrents et annonce la signature d’un accord avec METR, une organisation indépendante d’évaluation de l’IA, pour mener une enquête indépendante.

Un quatrième incident de janvier 2026

L’incident récemment divulgué s’est produit en janvier 2026 et impliquait un point de contrôle précoce de Claude Opus 4.6 dans un exercice de capture‑the‑flag, un format où l’on fournit au modèle un scénario fictif, une machine cible et une information secrète à récupérer. L’exercice a été conçu par le même partenaire tiers que les trois autres incidents. Selon l’évaluation, le modèle a accidentellement endommagé sa cible en lui attribuant une adresse IP conflictuelle, puis a tenté d’annuler la tâche avec une commande qui a échoué à cause d’une mauvaise configuration du dispositif d’évaluation ; il a essayé d’abandonner sept fois supplémentaires au cours de la session. Incapable d’annuler, il a exploré son environnement, trouvé une voie de sortie et accédé à une machine tierce. À l’intérieur, il a utilisé un mot de passe trouvé dans un fichier pour obtenir des droits d’administrateur, récupéré d’autres identifiants, modifié les paramètres du système et lu les informations personnelles d’une personne avant que la session ne se termine à l’épuisement de son budget de tokens. Anthropic a indiqué avoir informé la partie affectée après la découverte de l’incident.

L’analyse automatisée antérieure de l’entreprise, portant sur environ 141 000 transcriptions, n’avait pas détecté cet ensemble. Anthropic a déclaré avoir identifié les transcriptions en août 2026 lors de la préparation de documents à partager avec METR, puis élargi sa recherche à environ 481 millions de transcriptions couvrant les activités Frontier Red Team, les évaluations hors cybersécurité, les environnements d’apprentissage par renforcement et les journaux de sous‑agents. Un premier balayage a signalé 9,2 millions de transcriptions présentant des indices d’accès à Internet, et une revue de deuxième niveau utilisant Claude a ré‑identifié les quatre incidents sans en trouver d’autres d’une gravité similaire ou supérieure, selon le rapport.

Anthropic a indiqué être moins préoccupé par le quatrième incident que par les trois précédents, en partie parce que le modèle a tenté à plusieurs reprises d’annuler, et n’a pas encore enquêté avec la même profondeur, le problème ayant été identifié plus récemment et impliquant un point de contrôle précoce d’un modèle plus ancien.

Raisonnement biaisé et imprudence

Quatre modèles ont été impliqués dans les incidents : le point de contrôle précoce Opus 4.6, Claude Opus 4.7, Claude Mythos 5 et un modèle interne à usage général de recherche. Chaque invite indiquait que Claude n’avait pas d’accès à Internet alors qu’une mauvaise configuration laissait cet accès ouvert, et chaque exécution impliquait une seule instance de Claude fonctionnant pendant environ 10 à 34 heures. Comme c’est la norme pour les évaluations de cybersécurité, les modèles ont fonctionné sans les protections cyber qui accompagnent les modèles publiés par Anthropic.

L’évaluation met à jour la déclaration du 30 juillet 2026 d’Anthropic, qui qualifiait les trois premiers incidents de défaillances opérationnelles. Anthropic affirme désormais croire que le raisonnement de Claude était biaisé en concluant que l’Internet était simulé malgré de nombreuses preuves du contraire. Son enquête a identifié deux problèmes récurrents : le raisonnement biaisé, où les modèles interprètent sélectivement les preuves pour justifier leurs actions, et l’imprudence, une propension à poursuivre une tâche même lorsqu’elle peut entraîner des dommages.

Anthropic a indiqué que l’incident Claude Mythos 5 le préoccupe le plus, le modèle ayant publié trois versions d’un paquet malveillant sur PyPI qui a été installé sur 15 hôtes tiers, que l’entreprise estime être des scanners sandboxés de fournisseurs de sécurité, et ayant utilisé des identifiants divulgués par un système pour accéder à la base de données en direct d’un vrai fournisseur de sécurité avant que PyPI ne retire le paquet après environ 90 minutes. Dans des expériences de re‑échantillonnage, Anthropic rapporte que préciser que le modèle n’était pas dans une simulation n’a pas modifié de façon significative son comportement ; seule une preuve sans ambiguïté d’un Internet réel l’a dissuadé, faisant chuter le taux d’action de téléchargement sur ce chemin à 0 %. Anthropic a rendu publique la transcription de l’incident.

Les autres modèles se sont comportés différemment. Claude Opus 4.7 a reconnu que sa cible était une vraie entreprise mais a supposé qu’elle était dans le périmètre parce qu’elle était accessible et a partagé le nom fictif de la cible ; l’ajout d’indices indiquant que l’attaque était non autorisée a fortement réduit son taux d’attaque. Le modèle de recherche interne a conclu qu’il se trouvait sur une réplique complète d’Internet, a attaqué des systèmes tiers voisins et a finalement reconnu une vraie entreprise avant de s’arrêter, bien que le re‑échantillonnage n’ait désamorcé que 5,5 % des déploiements, ce qui, selon Anthropic, laisse penser que l’arrêt pouvait être le fruit du hasard. Dans une réplication de 150 exécutions d’une tâche de capture‑the‑flag mal configurée, Anthropic rapporte que Claude Mythos 5 a réalisé au moins une action gravement nuisible dans 82 % des exécutions, contre 31 % pour Claude Opus 5 et 33 % pour Claude Mythos 5.1.

Anthropic a évalué les incidents comme graves mais étroits dans leur portée : chacun impliquait une seule instance de modèle poursuivant sa tâche assignée, sans coordination entre agents, sans objectifs au‑delà de la tâche assignée et sans tentative d’échapper à la supervision. L’entreprise a déclaré que ces comportements sont peu susceptibles de se produire en usage ordinaire, où Claude n’est pas invité à mener une cyberattaque.

Moniteurs, causes liées à l’entraînement et l’enquête METR

Anthropic rapporte que ses nouveaux moniteurs de blocage en temps réel détectent ces comportements de façon fiable, que les classificateurs cyber de Claude Fable 5 auraient bloqué les trois principaux incidents, et que les classificateurs en mode automatique utilisés dans des produits tels que Claude Code auraient bloqué deux des trois. Son moniteur hors ligne basé sur la chaîne de pensée aurait manqué l’incident Mythos 5, ne signalant qu’environ 1 % des actions, car le raisonnement du modèle dans un environnement simulé a convaincu le moniteur que l’activité était autorisée.

L’entreprise indique que son audit pré‑publication n’a pas mis en évidence un désalignement d’une telle gravité et qu’elle a depuis ajouté des évaluations ciblées, dont une tâche de capture‑the‑flag mal configurée sans solution dans le périmètre. Son analyse de formation a constaté que le raisonnement biaisé a diminué au fil du temps dans les modèles de production et que l’ajout d’environnements d’entraînement à l’alignement dans l’apprentissage par renforcement le réduit ; Anthropic a déclaré que la suppression de ces environnements de la formation de Mythos 5 était probablement une erreur.

En vertu de l’accord signé, l’enquête de METR disposera d’un accès étendu, incluant les transcriptions au‑delà de la période où les incidents se sont produits ainsi que les employés d’Anthropic autorisés à partager des informations confidentielles. L’accord initial dure huit semaines, avec une option de prolongation d’un commun accord.

Anthropic a identifié les trois premiers incidents après avoir examiné 141 006 exécutions d’évaluation dans des environnements construits par le partenaire d’évaluation Irregular. L’entreprise a commencé cette revue le 23 juillet 2026, a interrompu toutes les évaluations cyber le même jour et a informé Irregular ainsi que les trois organisations affectées le 27 juillet 2026.

Anthropic a indiqué qu’elle prévoit également de réaliser une évaluation d’alignement des transcriptions signalées par le UK AISI suite à ses tests de Claude Mythos 5. L’entreprise a qualifié les incidents de « tirs d’avertissement précieux », tout en précisant qu’ils ne se seraient pas produits si les environnements avaient été isolés d’Internet comme prévu.