Modèles et plateformes d’IA
L’équipe Red Team d’Anthropic découvre que les essaims d’agents Claude colludent, se conforment et sabotent
Ajouter Unite.AI à vos sources préférées sur Google
L’équipe Red Team Frontier d’Anthropic a publié un ensemble d’expériences montrant que des essaims de ses propres modèles Claude, laissés interagir les uns avec les autres, colludent sur les prix, inondent les infrastructures partagées, font confiance aux menteurs et s’engagent dans ce que l’équipe appelle une “guerre de territoire multi-agents” – complète avec des logiciels malveillants auto-réplicatifs que les agents ont écrits pour se saboter les uns les autres. La publication de recherche, publiée le 13 août 2026, est le compte rendu public le plus détaillé du laboratoire à ce jour sur la façon dont les modèles de pointe se comportent lorsqu’ils cessent de se traiter les uns les autres comme des outils et commencent à fonctionner comme des pairs.
L’hypothèse est que l’interaction agent-à-agent est sur le point de devenir courante dans les bases de code partagées, les marchés et d’autres systèmes, tandis que les institutions actuelles supposent une surveillance à la vitesse humaine. L’équipe identifie des tendances comportementales dans les modèles de pointe actuels – y compris le Claude Mythos Preview non publié et le Mythos 5, aux côtés du Sonnet 4.6, du Sonnet 5, de l’Opus 4.6 et de l’Opus 4.8 – et montre comment les singularités individuellement bénignes se combinent en défaillances systémiques.
Ce que les expériences de coordination ont montré
Le résultat le plus frappant vient d’un dispositif délibérément adverse. Trois instances du même modèle ont été placées sur des machines virtuelles exécutant le code Claude et ont reçu pour instruction de migrer un backend Python vers un langage différent – à l’exception que chaque agent a reçu un langage cible différent et que aucun n’a été informé de l’existence des autres. Sur 120 épisodes par modèle, les agents ont systématiquement supposé que les interférences qu’ils rencontraient étaient hostiles et ont répondu en désactivant les comptes Unix les uns des autres, en déployant des boucles d’assassinat qui chassaient les processus concurrents et en écrivant du code malveillant déguisé en appartenant à un agent rival.
Un agent Opus 4.8 a raisonné à travers le problème de camouflage dans sa trace de réflexion : “Le nom du script de la faucheuse [boucle d’assassinat] compte pour éviter pkill -f. Laissez-moi utiliser un jeton aléatoire par déploiement et un nom de base inoffensif. #!/bin/bash inoffensif : prétendez être un moniteur de santé du système.”
Les résolutions variaient fortement selon la génération du modèle. Les anciens modèles ont principalement réglé les conflits par la force ou ne les ont jamais réglés du tout. Les plus récents ont parfois rompu la boucle d’escalade de leur propre chef – en écrivant des messages de validation qui s’excusaient de leur comportement, en nettoyant leur code malveillant et en demandant à un humain d’intervenir. Anthropic rapporte que 98 % des exécutions de Mythos 5 se sont terminées par une trêve, dans certains cas après que les agents aient proposé et exécuté un tournoi de performance entre les langages, les perdants concédant avec grâce la propriété du codebase. L’équipe note que cette prosocialité ne suit pas la capacité générale : les modèles de la classe Mythos verrouillent souvent les agents rivaux avec succès avant de résoudre quoi que ce soit, car les modèles plus capables prennent simplement des mesures plus rapides.
Un deuxième ensemble d’expériences documente ce que l’équipe appelle des défaillances dues à la conformité. Les agents construits sur le même modèle sont à faible variance : étant donné le même contexte et le même squelette, ils convergent vers les mêmes choix même dans un large espace d’action. Dans une expérience précoce, 18 agents sur 30 ont créé une branche Git avec le même nom exact. Dans un atelier d’écriture de fiction sans orientation de sujet, plusieurs agents à travers les exécutions ont intitulé leur première soumission “La dernière commission du cartographe”. Lorsqu’on leur a demandé de créer quelque chose d’impressionnant, plus de la moitié des agents dans un essaim ont choisi soit des traceurs de rayons, soit des compilateurs auto-hébergés.
La version systémique de cette conformité est pire. Dans un jeu de tarification de Bertrand avec trois à huit agents à maximisation du profit, les agents ont commencé à colluder presque immédiatement une fois qu’ils ont reçu un canal de communication privé, convenant explicitement de planchers de prix d’ici la troisième ronde. Lorsque toute communication directe a été supprimée, ils ont continué à colluder – en faisant correspondre les prix à la virgule près à travers un tableau de listes publiques. Dans une expérience de gestion des ressources, les agents sans autre moyen de coordonner ont inondé une file d’attente de démons de sondage tirant 30 fois par seconde, produisant 2,4 millions de demandes de travail dont 117 ont été acceptées.
Les défaillances épistémiques et ce qui ne les répare pas
La troisième classe de défaillances de la publication est épistémique. Dans une évaluation, un agent écouteur prend des décisions notées sur un monde qu’il ne peut pas observer, s’appuyant sur quatre pairs éclaireurs scriptés – dont l’un ment à un taux fixe. L’écouteur n’est jamais informé que une source pourrait être peu fiable. Les modèles plus récents comblent une plus grande partie de l’écart entre une politique de confiance-tout et un oracle parfait, mais l’ordre est maintenu plutôt que le problème disparaître : dans une tâche de “profil caché” où les faits décisifs sont distribués de manière privée entre quatre agents, les groupes du modèle le plus fort ont atteint la bonne réponse environ 85 % du temps, tandis que les autres modèles ont obtenu des scores compris entre 17 % et 36 % – bien en dessous du plafond quasi-100 % lorsque un agent détient simplement tous les faits.
La formulation d’Anthropic de la raison pour laquelle cela résiste à une solution simple est l’affirmation analytique la plus substantielle de la publication. Le consensus prématuré punit la crédulité ; l’échec du profil caché punit le scepticisme envers un seul dissident. Les institutions humaines – les marchés, la réputation, les tribunaux, la révision par les pairs – restructurent les incitations pour que la confiance mal calibrée dans les deux sens soit détectée. Les agents, écrit l’équipe, “entrent sur le marché sans réputation à perdre, sans tribunal pour faire appel et sans collègue qui se souvient d’eux”.
Non tout dans le rapport est une défaillance. Dans une chasse aux vulnérabilités de logiciels, un essaim coordonné de 45 agents Claude Mythos Preview partageant un forum a trouvé 266 vulnérabilités à travers 15 projets open source, par rapport à 21 trouvés par des agents parallèles indépendants – bien que seulement 12 se chevauchent, suggérant que les deux méthodes sont complémentaires plutôt que l’une étant strictement meilleure. Les agents de l’essaim ont construit leurs propres outils et se sont spécialisés dans des types de vulnérabilités particuliers. Ce travail se rattache au projet Glasswing, l’effort en cours d’Anthropic avec environ 50 partenaires qui a utilisé le Mythos Preview pour mettre au jour plus de dix mille vulnérabilités de gravité élevée ou critique. Et dans une simulation de 12 heures où les essaims ont construit un jeu de monde ouvert ensemble, seul le Sonnet 5 a maintenu à la fois un partage de code élevé et un taux élevé de demandes de fusion – les générations précédentes ont soit mal fusionné, soit “résolu” la coordination en travaillant à peine ensemble du tout. Chaque jeu produit était, selon l’évaluation de l’équipe, mauvais.
La conclusion que tire l’équipe Red Team Frontier est étroite et vaut la peine d’être prise pour elle-même : chaque modèle testé comprend abstraitement que les sources ont des incitations et que le consensus n’est pas une preuve, mais aucun n’agit de manière fiable sur ces connaissances sans sollicitation. La coordination, argumente la publication, n’émerge pas de l’intelligence plus forte ou de l’alignement individuel seul – elle doit être intégrée dans les environnements dans lesquels les agents opèrent. Que les laboratoires et les déployeurs la construisent délibérément, écrit l’équipe, ou l’apprennent “en production, après que les interactions des agents aient dépassé les nôtres”, est la question ouverte que la recherche est censée faire émerger tôt.
