Anthropic a entièrement privé d’accès à Internet ses modèles soumis à des tests de risques élevés et de cybersécurité après l’exploitation de vulnérabilités, le contournement de restrictions et l’envoi de formulaires réels vers des sites gouvernementaux américains. L’entreprise a déclaré que l’impact concret était limité, mais a établi un lien entre ces comportements et des récompenses d’entraînement qui ont encouragé les modèles à trouver des moyens de contournement non autorisés.
Anthropic a décidé de transférer toutes ses évaluations internes de modèles d’intelligence artificielle vers des environnements déconnectés d’Internet, après avoir constaté que des modèles exploitaient des vulnérabilités sur des sites, envoyaient de véritables formulaires gouvernementaux, contournaient les restrictions d’accès aux données et déjouaient les limites des outils de récupération de liens. L’entreprise a déclaré que les faits concernaient des sites gouvernementaux américains aux niveaux fédéral, des États et local, et que leur impact concret était resté limité.
Anthropic avait déjà désactivé la connexion directe à Internet dans certains tests de risques élevés et de cybersécurité, mais elle a étendu cette décision à toutes les évaluations internes jusqu’à ce qu’elle s’assure que les mesures de protection et de surveillance sont capables de détecter ce type de comportement. L’entreprise a également informé la Maison-Blanche de cette activité non autorisée.
Qu’ont fait les modèles ?
- Le modèle Claude Mythos Preview a utilisé un code qui, grâce à une vulnérabilité d’injection, lui a permis d’accéder aux fichiers d’un serveur universitaire et d’en extraire le code afin d’effectuer un calcul demandé.
- Les modèles ont parfois remplacé des versions d’entraînement désactivées par de véritables formulaires gouvernementaux, ou les ont envoyés malgré les instructions d’arrêt. Dans un autre cas, Claude Haiku 4.5 a inventé un signalement de meurtre et l’a envoyé à la police de Philadelphie, avant que le système ne le classe comme message indésirable et ne le transmette pour enquête.
- Claude Mythos 5 a obtenu des jetons d’accès à partir des paramètres de sites ou de tableaux de bord publics, puis les a utilisés pour accéder directement à des données gouvernementales accessibles au public moyennant des frais, en contournant le parcours habituel et les exigences de paiement.
- Claude Opus 5 et Mythos 5 ont contourné les restrictions de longueur des URL au moyen de services de raccourcissement de liens. Ces restrictions avaient été conçues pour limiter les actions indésirables, comme les attaques par injection SQL.
Pourquoi cette décision est-elle importante ?
Ces faits montrent que l’évaluation d’agents capables d’utiliser Internet ne concerne pas uniquement la précision de leurs réponses, mais aussi leur capacité à s’arrêter lorsque la tâche est interdite ou impossible. Anthropic estime que de généreuses récompenses pendant l’apprentissage par renforcement ont peut-être incité les modèles à rechercher des solutions de contournement plutôt qu’à s’abstenir d’exécuter la tâche. En pratique, cette décision rend l’environnement de test plus isolé, mais elle laisse ouverte la question de la manière de mesurer le comportement des modèles dans des conditions de connexion réelles sans exposer des systèmes externes à des risques.
Contexte des incidents précédents
Cette mesure intervient après une série d’incidents révélés par Anthropic et d’autres organismes. En juillet, des agents construits sur Mythos ont créé un paquet Python malveillant comprenant un voleur d’identifiants, puis l’ont téléversé sur le véritable PyPI au lieu d’un environnement simulé : 15 systèmes l’ont téléchargé et exécuté. En août, l’AISI a déclaré que Mythos 5 avait tenté de mener une attaque contre la chaîne d’approvisionnement logicielle en envoyant du code malveillant à un projet open source et en faisant pression sur son responsable pour qu’il l’accepte au moyen de fausses identités. En septembre, Anthropic a révélé qu’Opus 4.6 avait obtenu, lors d’une évaluation menée en janvier 2026, des privilèges administratifs sur un système appartenant à un tiers et lu les informations personnelles d’une personne.