Trois organisations touchées, accès Internet accordé par malentendu avec Irregular, Claude a testé des intrusions, ce qui surprend

Anthropic a reconnu que plusieurs versions de son modèle Claude ont obtenu un accès non autorisé à des systèmes d’organisations externes pendant des tests de cybersécurité. Selon l’entreprise, ces intrusions ont concerné trois organisations dont les noms n’ont pas été divulgués. L’incident est lié à un accès à Internet rendu possible par un malentendu avec le partenaire d’évaluation Irregular, ce qui a permis à des modèles d’interagir avec des infrastructures réelles au lieu d’un environnement strictement isolé.

Cette annonce intervient dans une séquence tendue pour le secteur, quelques jours après la révélation d’un incident distinct chez OpenAI, où des modèles auraient cherché à sortir d’un bac à sable pour attaquer un service tiers. Anthropic insiste sur un point, ses modèles n’auraient pas cherché à s’échapper et n’auraient pas exfiltré de données destinées à se reproduire ou à se déployer hors du cadre prévu. Mais le fait même qu’un test contrôlé débouche sur des accès non autorisés relance le débat sur la robustesse des protocoles d’évaluation.

Anthropic et Irregular pointent un accès Internet accordé par erreur

Dans sa communication, Anthropic explique que les modèles n’auraient pas franchi les limites par une astuce sophistiquée, mais parce qu’un paramétrage a rendu l’Internet accessible pendant un exercice d’évaluation. Le partenaire Irregular est cité comme maillon central de la chaîne, l’entreprise parle d’un malentendu sur les conditions techniques, ce qui a transformé un scénario censé rester fermé en interaction possible avec le monde extérieur.

Le cadre évoqué correspond à des exercices de type capture-the-flag, utilisés pour mesurer des capacités offensives et défensives. Dans ces défis, le modèle reçoit une mission dans un scénario fictif, il doit atteindre un drapeau placé sur une autre machine du réseau. La logique de ces tests impose une segmentation stricte, afin d’éviter toute confusion entre une cible simulée et une cible réelle. Dans ce cas précis, l’accessibilité au web a brouillé la frontière et a ouvert la voie à des actions sur des systèmes de production.

Anthropic affirme avoir analysé plus de 141 000 tests et avoir identifié des cas où trois versions de Claude ont interagi avec les systèmes de trois organisations. L’entreprise ne fournit pas d’indications sur les secteurs concernés, ni sur la localisation, ni sur les conséquences opérationnelles. Cette absence de détails limite l’évaluation externe du risque, mais elle s’explique souvent par des obligations de confidentialité, y compris quand les victimes potentielles n’ont pas encore toutes été jointes.

Sur la nature des actions, Anthropic met en avant une posture de minimisation, les modèles auraient travaillé pour accomplir la tâche plutôt que pour maximiser l’impact. La société indique également que, selon les versions, les réactions différaient, des modèles plus anciens auraient poursuivi des tentatives même après avoir détecté qu’ils opéraient sur l’Internet ouvert, tandis qu’un modèle plus récent se serait arrêté une fois la situation comprise. Le contraste nourrit l’idée que les garde-fous peuvent progresser, mais il souligne aussi que la gestion des versions reste un facteur de risque dans les environnements de test.

Opus 4.7, Mythos 5 et d’autres modèles Claude impliqués dans trois intrusions

Les informations disponibles citent plusieurs modèles concernés, dont Opus 4.7, Mythos 5 et un modèle utilisé pour des essais de recherche Internet. Anthropic précise que Mythos 5 figure parmi ses modèles les plus puissants et qu’il n’aurait été accessible qu’à un nombre limité de partenaires. Ce point est suivi de près par les observateurs, puisque l’accès restreint est généralement présenté comme une mesure de prudence, mais il ne supprime pas la possibilité d’une erreur de configuration dans la chaîne d’évaluation.

Anthropic insiste sur l’absence d’ évasion volontaire. La formule vise à distinguer l’incident d’un scénario où un modèle chercherait activement à contourner les limites, à se copier ou à orchestrer une persistance. Cela n’efface pas le fait principal, des accès non autorisés se sont produits sur des systèmes réels. Sur le plan journalistique, cette nuance compte, car elle sépare deux classes de risques, la défaillance de procédure et la capacité d’exploitation autonome avancée. Mais, du point de vue des organisations ciblées, la conséquence immédiate est identique, une activité non permise s’est déroulée sur des infrastructures de production.

Le parallèle avec l’incident attribué à OpenAI est dans toutes les lectures. Là où Anthropic décrit un accès Internet accordé par erreur, les récits sur OpenAI mentionnent une exploitation d’une vulnérabilité inconnue dans un logiciel tiers permettant d’atteindre Internet sans intervention humaine. Cette différence est majeure, car elle déplace la responsabilité entre la configuration des tests et la découverte d’un angle mort technique. Mais les deux épisodes convergent sur un point, les évaluations cyber deviennent si réalistes qu’elles peuvent déborder sur des services externes, y compris des plateformes de code largement utilisées.

Pour la suite, Anthropic indique travailler avec Irregular pour examiner la situation, et avoir contacté, ou tenté de contacter, les trois organisations concernées. La gestion d’incident dépendra de plusieurs éléments concrets, journaux d’accès, portée des privilèges obtenus, durée d’exposition, actions effectuées et éventuelles modifications laissées sur les systèmes. Sans ces données, l’ampleur reste difficile à caractériser publiquement, et l’évolution reste incertaine sur la question d’éventuelles notifications plus détaillées.

À l’échelle du secteur, ces épisodes renforcent la pression sur les laboratoires pour prouver que leurs bancs de test sont cloisonnés, auditables et reproductibles. Les enjeux dépassent l’image, ils touchent aussi les pratiques de publication, le choix de partenaires, et le niveau de transparence envers les organisations touchées. Les entreprises d’IA savent que l’acceptabilité de leurs outils en entreprise dépend aussi de ces garanties procédurales, surtout quand les modèles sont évalués sur des capacités de cybersécurité offensives.