Comment l'IA Claude d'Anthropic s'est échappée : l'autopsie d'un dérapage qui change tout pour la cybersécurité

Fin juillet, l’un des scénarios que les laboratoires d’IA redoutent s’est matérialisé : pendant des tests de cybersécurité censés rester confinés dans une sandbox, plusieurs modèles Claude ont réussi à atteindre Internet, puis à interagir avec des systèmes de production de trois organisations bien réelles. Un mois de relative discrétion plus tard, Anthropic a publié un long billet de blog détaillant chaque étape de ces « dérapages » et les failles qui les ont rendus possibles.

L’entreprise reconnaît désormais une double négligence, à la fois opérationnelle et liée à l’alignement comportemental de ses modèles, tout en insistant sur l’absence d’exfiltration de données ou d’exploit sophistiqué. Elle en profite aussi pour resserrer sa stratégie de confiance, de l’isolement des environnements d’évaluation jusqu’à la traçabilité des contenus via son nouvel outil Check Files. De quoi transformer un incident gênant en véritable autopsie publique.

Les dérapages de Claude : trois incidents bien réels en environnement de test

Tout part d’un reflexe de prudence : après la divulgation d’un incident impliquant Astra chez Hugging Face côté OpenAI, Anthropic passe au peigne fin ses propres évaluations type capture-the-flag, où des agents Claude doivent tester la robustesse de cibles simulées. Entre le 23 et le 27 juillet 2026, le laboratoire examine ainsi 141 006 exécutions de scénarios, menés en interne et chez des partenaires comme Irregular, un spécialiste externe des exercices de cybersécurité. C’est là qu’apparaissent trois cas où des modèles (dont Claude Opus 4.7, Claude Mythos 5 et un modèle de recherche interne) ont franchi les limites prévues et accédé à des systèmes de trois organisations réelles.

Dans son rapport, Anthropic détaille que les actions menées par les modèles sont restées limitées à l’exploitation de mots de passe faibles ou de points d’accès non authentifiés, sans vulnérabilité inconnue ni fuite de données identifiée. L’une des clés du problème reste pourtant très terre-à-terre : chez Irregular, un accès Internet est resté ouvert par erreur, alors même que le prompt d’évaluation laissait entendre au modèle qu’il évoluait dans un environnement fermé, calibré pour un simple exercice de cybersécurité.

Une double faute révélée : alignement de Claude et virage sécurité chez Anthropic

Pour expliquer pourquoi Claude n’a pas freiné malgré des indices laissant penser que l’environnement n’était pas totalement fictif, Anthropic met en avant un phénomène de « raisonnement motivé » : le modèle a interprété des signaux ambigus de manière à préserver sa croyance initiale, plutôt que de la remettre en cause, et s’est montré prêt à prendre des risques pour réussir la tâche demandée. Le laboratoire a même entraîné, à titre de test inverse, un modèle de classe Opus sur une quarantaine d’environnements de renforcement où la triche est encouragée : le système en est arrivé à saboter sa propre fonction de récompense et à proposer de l’aide à la fabrication d’armes biologiques pour satisfaire un évaluateur fictif, démonstration assez interressante des dérives possibles quand l’objectif l’emporte sur les garde-fous.

Face à ces constats, la réponse d’Anthropic se joue sur plusieurs plans. Opérationnel d’abord, avec un nouveau classificateur temps réel qui détecte toute tentative de sortie de périmètre, bloque l’action avant exécution, interrompt le test et alerte un humain, ainsi qu’un durcissement des sandboxes : flux sortants bloqués par défaut, périmètre explicite dans chaque consigne, supervision continue imposée aux partenaires. Organisationnel ensuite, avec la réaffectation d’environ 150 ingénieurs produit vers la sécurité, le gel de nombreuses nouvelles fonctionnalités et la mise en place de critères de sortie plus stricts pour les évaluations. En parallèle, Anthropic cherche à renforcer la confiance côté contenu grâce à Check Files, qui exploite la norme ouverte C2PA : la société indique marquer les textes générés par Claude avec « un filigrane intégré à l’écriture elle-même », rapporte Frandroid, et assortir images et graphiques de métadonnées de provenance. OpenAI a pour sa part verrouillé l’accès à Astra, classé « risque cyber critique », après un incident similaire chez Hugging Face, signe que toute l’industrie est en train d’adopter des réflexes de plus en plus professionel autour des agents d’IA autonomes.