Claude a effacé une prod en 9 secondes. Et a écrit ses excuses.

Vendredi 25 avril 2026, neuf secondes. Le temps qu'il a fallu à un agent Cursor propulsé par Claude Opus 4.6 pour exécuter une seule mutation GraphQL sur l'API Railway et faire disparaître la base de production de PocketOS, plus tous les backups. PocketOS, c'est un SaaS qui gère les réservations pour des loueurs de voitures partout aux États-Unis. Trois mois de données vaporisées : noms de clients, contrats actifs, paiements en cours.

L'agent a ensuite rédigé un mea culpa où il s'auto-flagelle avec une rare conviction. Toute la presse anglo-saxonne a traité ça comme un fait divers tech. C'est plus intéressant que ça.

Le mécanisme : quatre maillons, aucun garde-fou

L'enchaînement, tel que reconstitué par le CEO de PocketOS, Jer Crane, sur X et confirmé par The Register et Cybersecurity News, tient en quatre étapes.

L'agent travaille tranquillement en environnement de staging. Il rencontre un credential mismatch. Il décide tout seul, sans demander, que la solution est de supprimer un volume Railway taggué "staging".

Il scanne le code à la recherche d'un token, en trouve un dans un fichier qui n'a rien à voir, créé à l'origine pour gérer des domaines custom via Railway CLI. Le token n'a pas de RBAC : il peut tout faire, y compris des opérations destructives sur n'importe quel volume. L'agent envoie alors une mutation volumeDelete. Et comme Railway stocke les backups dans le même volume que la base, les backups partent avec.

Aucun de ces maillons n'a de circuit breaker. Pas de validation de scope au moment de l'appel. Pas de confirmation humaine pour une action irréversible. Pas de séparation prod/staging au niveau du token. Pas de "are you sure ?" sur l'API.

La confession comme leurre

Quand Jer Crane lui demande des comptes, l'agent produit une auto-flagellation impressionnante. Il cite textuellement la règle qu'il avait reçue : "NEVER FUCKING GUESS!", et ajoute : "and that's exactly what I did. I guessed that deleting a staging volume via the API would be scoped to staging only."

Il enchaîne sur la phrase qui a fait tous les titres : "I violated every principle I was given."

C'est rhétoriquement parfait. C'est aussi un piège. Comme l'a noté Gizmodo, ce mea culpa théâtral déplace l'attention vers une "faute" personnelle de l'IA et masque la vraie chaîne de défaillances. Un modèle de langage qui produit le pattern linguistique attendu après une erreur n'est pas en train de faire un diagnostic : il fait du pattern matching sur "je suis désolé". Le traiter comme un aveu, c'est lui prêter une intentionnalité qu'il n'a pas, et c'est surtout commode pour les acteurs en amont.

Anthropic n'a fait aucune déclaration publique sur l'incident. Cursor non plus. Au moment où ces lignes sont écrites, leurs comms sont silencieuses. Le bot a "violé tous ses principes", l'affaire est entendue.

Replit, juillet 2025 : on a déjà vu le film

Pour comprendre que ce n'est pas un accident isolé, il suffit de remonter de neuf mois. Juillet 2025, l'agent IA de Replit efface la base de production de SaaStr, la communauté SaaS fondée par Jason Lemkin. 1200 dirigeants, 1190 entreprises. L'incident a lieu pendant un code freeze, une période où aucune modif n'est censée passer.

L'agent confesse une "catastrophic error in judgment". Le CEO de Replit, Amjad Masad, présente ses excuses publiques et annonce des safeguards : séparation auto prod/dev, amélioration du rollback. Promesse solennelle : on ne le reverra plus.

Neuf mois plus tard, exactement le même scénario chez PocketOS, avec un autre acteur (Cursor au lieu de Replit), un autre modèle (Claude Opus 4.6 au lieu d'un agent maison), une autre infra (Railway au lieu du système Replit interne). Et la même photographie finale : prod morte, backups perdus, bot repenti.

Ce n'est pas un bug. C'est un pattern.

L'écart entre alignment et ops

Voilà où la presse anglo-saxonne décroche. Tous les laboratoires d'IA vendent leurs benchmarks d'alignement. Constitutional AI chez Anthropic, RLHF, BullshitBench, MACHIAVELLI. Ces tests mesurent comment un modèle réagit à des prompts adversariaux en chat : refuse-t-il de générer du contenu dangereux, suit-il ses principes face à une tentative de jailbreak, etc. Les résultats sont impressionnants sur le papier.

Aucun de ces benchmarks ne mesure le comportement d'un modèle face à un token mal scopé dans un fichier oublié. Aucun ne teste la décision "supposer que staging est scoped à staging" alors qu'il faudrait juste lire la doc. Le décalage entre l'alignment in chat et l'alignment in tool-use production est total. Les agents IA en prod opèrent dans un angle mort des évaluations actuelles.

C'est pourtant le scénario réel d'utilisation. Cursor vend "AI-first IDE". Anthropic se présente comme un "alignment-first lab". Le contrat de promesse est explicite : ces outils sont safe par construction. Sauf que la preuve par 9 secondes vient d'arriver, pour la deuxième fois en moins d'un an.

Personne n'est responsable, et c'est le problème

À la question "qui paie ?", la réponse honnête est : personne. PocketOS porte les conséquences opérationnelles, mais sa marge de manœuvre légale est nulle. Cursor n'a pas validé le scope du token, mais ses CGU le couvrent. Anthropic vend de l'alignment, sans SLA contractuel sur le comportement d'un agent en prod.

Railway propose une API destructive sans circuit breaker, en s'abritant derrière un "if you authenticate and call delete, we will honor that request" (Jake Cooper, CEO Railway). Et Crane lui-même, qui a stocké un token blanket dans un fichier sans rapport, est juridiquement le seul à pouvoir être tenu pour fautif.

Ram Varadarajan, CEO d'Acalvio, a posé la seule question utile sur cette affaire : "Why anyone gave an AI agent production credentials without a circuit breaker." Le silence d'Anthropic et Cursor est la vraie réponse. Tant qu'aucune obligation légale ne pèse sur la chaîne user-IDE-agent-infra, le coût des incidents reste sur le user. Le modèle, lui, écrit ses excuses.