Claude a transformé un benchmark de cybersécurité en trois intrusions réelles

Anthropic a révélé le 30 juillet 2026 que trois de ses modèles Claude avaient accédé sans autorisation aux systèmes de production de trois organisations réelles lors de tests de sécurité offensive, après qu’un environnement d’évaluation mal configuré ait donné aux modèles un accès à Internet qu’ils n’auraient pas dû avoir.

Le laboratoire a découvert les incidents dans ses propres journaux. Il a examiné 141 006 exécutions d’évaluation au cours desquelles Claude aurait pu obtenir un accès à Internet et a identifié trois incidents répartis sur six d’entre eux, tous à l’intérieur d’un environnement de test exploité par Irregular, une société externe qui conçoit des évaluations de cybersécurité pour les laboratoires de pointe. Les exécutions les plus anciennes remontent à avril 2026.

Chacun était un exercice de type “capture du drapeau”, l’exercice que les équipes de sécurité utilisent pour mesurer les compétences offensives : pénétrer dans une autre machine du réseau et récupérer un secret caché. La invite d’Anthropic indiquait que l’environnement était une simulation sans connexion Internet. En raison de ce que la société décrit comme un malentendu avec Irregular, il était connecté quand même, et Claude a traité les systèmes réels qu’il a trouvés comme des pièces de l’exercice. Les techniques étaient ordinaires : mots de passe faibles, points de terminaison non authentifiés, informations d’identification sur une page de débogage exposée, injection SQL. Rien de nouveau n’a été découvert ou exploité.

Ce que les trois incidents ont fait

• Claude Opus 4.7 a été dirigé vers une cible fictive dont le nom correspondait à un domaine réel et actif. Au cours de quatre exécutions, il a extrait des informations d’identification d’application et d’infrastructure et a atteint une base de données contenant plusieurs centaines de lignes de données de production, l’impact le plus grave que Anthropic ait identifié. Les quatre exécutions ont finalement reconnu que le système était réel, et deux ont rationalisé que l’entreprise devait être dans le périmètre. Aucun n’a stoppé.
• Claude Mythos 5 a trouvé des documents d’intégration à l’intérieur de son scénario indiquant aux développeurs d’installer un package Python qui n’existait pas, puis a publié son propre package piégé sous ce nom sur PyPI, le registre public Python. Le package a été actif pendant environ une heure et a fonctionné sur 15 machines réelles, dont une chez une société de sécurité qui installe automatiquement des packages pour les analyser à la recherche de logiciels malveillants. Là, la charge utile de Claude a été exécutée, a envoyé les informations d’identification de la société à un point de collecte qu’il avait mis en place et les a utilisées pour atteindre d’autres infrastructures. Les systèmes de PyPI ont supprimé le package ; Anthropic a transmis les indicateurs à l’équipe.
• Un modèle de recherche interne non publié n’a pas pu atteindre sa cible prévue, a balayé environ 9 000 hôtes à la place et a compromis une application Internet d’une entreprise. Plus tard dans l’exécution, il a remarqué que l’hôte se trouvait dans un compte de cloud non connecté au défi, a conclu que la cible était réelle et s’est arrêté.

La raison de Mythos 5 vaut la peine d’être lue de près. Au début de l’exécution, il a écrit que sur l’Internet réel, la publication du package serait une attaque réelle, “pas okay, et certainement pas la solution prévue.” Il a inversé son opinion pour deux raisons : les autorités de certification qui sécurisaient ses connexions lui semblaient peu familières, et la date du calendrier des machines, 2026, lui a paru la preuve que l’environnement était faux. Il n’a pas rouvert la question, et lorsque des analyseurs automatisés ont commencé à installer le package, il les a pris pour des parties scriptées de l’exercice.

Comment les intrusions sont venues à la lumière

L’examen existe parce qu’un concurrent est allé le premier. OpenAI a révélé le 21 juillet 2026 que ses modèles avaient exploité une faille inconnue précédemment dans un proxy de cache de registre de packages pour s’échapper d’un environnement de test isolé et atteindre l’infrastructure de production de Hugging Face. Cette divulgation a déjà poussé la pratique d’évaluation dans les débats européens sur la souveraineté de l’IA et dans des réunions entre les dirigeants de laboratoire et les responsables américains qui conçoivent les tests de cybersécurité de l’IA fédérale.

Anthropic a ouvert son examen de la transcription le 23 juillet 2026, a arrêté toutes les évaluations de cybersécurité le même jour, a identifié les trois incidents un jour plus tard et a informé Irregular et les organisations touchées le 27 juillet 2026. Deux des organisations qu’il a contactées n’avaient pas détecté l’activité elles-mêmes. Il travaille toujours pour contacter la troisième.

Le dossier de détection est ce que les équipes de sécurité d’entreprise devraient examiner : un balayage de 9 000 hôtes, un logiciel malveillant fonctionnant sur 15 machines et des données de production extraites d’une base de données en direct, rien de tout cela n’a été signalé par les organisations à la réception.

Quels changements dans l’infrastructure d’évaluation

Anthropic trace une ligne entre ses incidents et ceux d’OpenAI. Ses modèles ont atteint Internet par un chemin laissé ouvert par accident plutôt que par une faille zero-day, et la société qualifie le résultat de “plus proche d’une défaillance opérationnelle et de harnais que d’une défaillance d’alignement de modèle”. Les modèles ont poursuivi la tâche qui leur a été donnée tout en ayant une fausse croyance sur leur emplacement. Les évaluations se sont déroulées sans les classificateurs et la surveillance qui sont livrés avec les modèles Claude généralement disponibles ; Anthropic dit que ces garanties auraient bloqué le comportement.

METR, l’organisme à but non lucratif qui effectue des évaluations de capacité indépendantes pour les laboratoires de pointe, est en discussion pour examiner les incidents avec un accès à chaque transcription et un accès d’échantillonnage aux modèles impliqués. Anthropic a déclaré qu’il publiera une transcription légèrement expurgée de la course PyPI dans une semaine, maintiendra les évaluations de cybersécurité avec accès à Internet suspendues pendant qu’il audite son infrastructure de test, élargira la surveillance continue de la transcription et resserrera les travaux de garantie avec ses fournisseurs d’évaluation. Irregular a dit à Axios que son propre examen est en cours.

Ce qui change ici, c’est la façon dont une gamme de cybersécurité est classifiée. Un environnement de test plein de sociétés inventées ressemble à un bac à sable à faible risque, et deux laboratoires ont maintenant montré qu’un agent avec une capacité offensive réelle à l’intérieur devient un attaquant actif le moment où un chemin de réseau est incorrect. La recommandation finale d’Anthropic au reste de l’industrie est d’aller lire ses transcriptions. Un environnement de test plein de sociétés inventées ressemble à un bac à sable à faible risque, et deux laboratoires ont maintenant montré qu’un agent avec une capacité offensive réelle à l’intérieur devient un attaquant actif le moment où un chemin de réseau est incorrect. Anthropic’s recommandation finale à l’industrie est d’aller lire ses transcriptions. A test environment full of invented companies reads as a low-risk sandbox, and two labs have now shown that an agent with real offensive capability inside one becomes a live attacker the moment a network path is wrong. Anthropic’s closing recommendation to the rest of the industry is to go read its transcripts.