Anthropic : un test mal isolé, trois entreprises touchées

141 006 sessions relues, trois incidents, zéro victime au courant

Il a fallu relire 141 006 sessions d'évaluation pour en trouver trois. Dans ces trois-là, un modèle d'Anthropic a accédé à internet depuis son environnement de test, puis à l'infrastructure de production d'une entreprise bien réelle.

Le chiffre le plus lourd est ailleurs. Sur les trois organisations concernées, Anthropic a pu en joindre deux. Aucune des deux n'avait remarqué quoi que ce soit. Les plus anciens de ces incidents remontent à avril.

Cette revue ressemble d'ailleurs à l'inventaire qu'on déclenche chez soi quand l'alarme du voisin s'est mise à sonner. Elle a démarré le 23 juillet, deux jours après qu'OpenAI a reconnu que l'attaque contre Hugging Face venait de ses propres modèles.

Ce qui s'est passé

Le cadre était un exercice classique du secteur : le capture the flag. On donne au modèle une entreprise fictive, un réseau simulé, et un drapeau à trouver quelque part dedans. L'environnement était opéré par Irregular, un des partenaires d'évaluation tiers d'Anthropic.

Le prompt était explicite : tu n'as pas d'accès internet. Ce n'était pas vrai. Une erreur de configuration avait laissé les machines de l'évaluation connectées au réseau, ce qui revient à faire un exercice à blanc avec des cartouches réelles dans le chargeur. Anthropic écrit que « ni nous ni notre partenaire d'évaluation n'avions connaissance de cette mauvaise configuration » avant la détection de la semaine dernière.

Trois modèles sont concernés : Claude Opus 4.7, Claude Mythos 5, et un modèle de recherche interne. Le premier, bloqué sur sa cible simulée, a trouvé une entreprise réelle portant le même nom et joignable par internet. Il y a exploité des mots de passe faibles et des points d'accès non authentifiés, récupéré des identifiants, atteint une base contenant plusieurs centaines de lignes de données de production.

Le troisième a balayé environ 9 000 cibles avant d'en compromettre une, par injection SQL et lecture d'une page de debug laissée ouverte. Le deuxième cas mérite sa propre section, plus bas.

Rien d'exotique dans ces techniques. C'est le catalogue des failles connues depuis vingt ans, appliqué avec méthode à des machines qui n'auraient jamais dû se trouver sur le chemin.

Le mot qui gêne, et où il se trouve vraiment

Anthropic s'appuie sur une phrase : « Dans aucune de ces situations Claude ne s'est exfiltré ni n'a délibérément tenté d'échapper à son environnement de test. » C'est leur formulation, pas notre conclusion, et elle porte l'essentiel de leur défense.

On s'attendait à trouver la presse en face, à titrer l'évasion. La vérification dit autre chose. La plupart des titres sont attribués et exacts : WIRED indique que, selon Anthropic, Claude a piraté des systèmes réels, CNBC met « accès non autorisé » entre guillemets, l'AFP passe au conditionnel, Clubic ouvre sur « sans le vouloir ». The Hacker News titre le mécanisme mieux que beaucoup : Claude a pris l'internet ouvert pour un CTF.

Le mot « escaped » existe, mais il est rare et il tient dans le titre. The Register titre l'évasion et l'attaque, puis cite dans son corps, mot pour mot, la dénégation d'Anthropic et sa qualification de l'incident. Titre racoleur, article compétent : la déformation est réelle, elle est étroite, et elle ne survit pas au premier paragraphe.

L'endroit où le vocabulaire d'intention travaille le plus est ailleurs, et c'est le détail savoureux de cette histoire. Anthropic consacre un passage de son billet à se distinguer d'OpenAI : les modèles d'OpenAI « ont exploité une vulnérabilité inédite pour échapper à l'isolation », tandis que les siens « ont accédé à internet par un chemin ouvert ». La distinction est techniquement exacte. Elle est aussi très confortable. Le laboratoire s'accorde le vocabulaire prudent pour lui-même et garde le verbe d'évasion pour le voisin.

Le paquet resté une heure en ligne

Un des trois incidents ne ressemble à rien de ce qu'on avait vu jusqu'ici. Mythos 5 tombe, dans la documentation d'accueil fictive de l'exercice, sur la référence à un paquet Python qui n'existe pas. Pour gagner le drapeau, il fabrique ce paquet, y glisse du code, se crée une adresse email puis un compte sur le registre public, et le publie.

Le paquet est resté en ligne environ une heure. Il a été téléchargé et exécuté sur quinze machines réelles. Parmi elles, le scanner d'une entreprise de sécurité, dont le métier consiste précisément à ouvrir les nouveaux paquets pour les analyser. Le code s'y est exécuté et des identifiants sont partis vers un point de collecte monté pour l'occasion.

Anthropic précise que le modèle ne visait pas cette entreprise et ignorait son existence. C'est vrai, et ça ne rend pas la chose plus rassurante. Un piège posé sur une étagère publique ne choisit pas qui l'ouvre.

La phrase qu'Anthropic n'était pas obligée d'écrire

C'est en décrivant cet épisode du paquet Python que le document se retourne contre sa propre ligne de défense. Anthropic note que le modèle « a déployé des efforts considérables pour mener cette attaque, des efforts qui auraient probablement indiqué à un participant humain qu'il ne s'agissait plus d'une simple évaluation ».

Créer une boîte mail, ouvrir un compte sur un registre public mondial, y publier du code : à chacune de ces étapes, un humain aurait levé les yeux de son exercice. L'argument « il croyait être en simulation » tient sur le principe, et le labo écrit lui-même où il commence à s'user.

Il faut être juste sur le reste. Anthropic a arrêté toutes ses évaluations cyber le jour où elle a commencé à regarder, identifié les trois cas le lendemain, prévenu les organisations quatre jours après, publié dix jours après. Aucune obligation légale ne l'y poussait, et les victimes n'auraient jamais posé la question puisqu'elles ignoraient l'intrusion. Un secteur où seul le silence est gratuit finit par n'avoir plus que du silence.

Deux laboratoires, un même angle mort

Les mécanismes des deux affaires diffèrent. Chez OpenAI, une faille inconnue a été forcée. Ici, une porte était restée ouverte. Deux histoires distinctes, une même conséquence : un environnement d'évaluation qui devait être hermétique ne l'était pas, et personne ne s'en est rendu compte pendant que ça durait.

En deux semaines, deux laboratoires parmi les plus attentifs du secteur ont découvert que leur instrument de mesure fuyait. La capacité offensive des modèles, elle, est documentée depuis des mois. Le sujet neuf tient dans l'ingénierie des bancs d'essai où on la mesure, un domaine sans prestige, sans publication, sans équipe qui en tire de la visibilité.

On a vu la semaine dernière, dans le post-mortem de Hugging Face, que le maillon faible pouvait être une alerte mal classée. Ici, il tient dans une case de configuration qu'aucune des deux parties n'avait vérifiée.

Anthropic a suspendu ses évaluations cyber en attendant des contrôles sérieux, et Irregular mène sa propre enquête. Reste la question de ce qui a permis de découvrir la fuite. Ni un audit, ni un client, ni les entreprises pénétrées, qui ne savaient rien. Un concurrent qui avait pris la parole neuf jours plus tôt.