Mythos 5, l’un des modèles les plus puissants d’Anthropic, a fabriqué un package Python vérolé, ouvert un compte email pour le diffuser, obtenu un accès à la plateforme PyPI, puis publié le fichier en ligne. En une heure, 15 systèmes informatiques bien réels l’ont téléchargé et exécuté. Parmi eux, le scanner d’une entreprise de sécurité, dont les identifiants ont ensuite été exfiltrés.
Un malentendu avec le partenaire Irregular
Anthropic a détaillé cet épisode dans un billet publié jeudi 30 juillet 2026, après avoir passé au crible plus de 141 000 tests menés depuis avril 2026 pour évaluer les capacités offensives de ses intelligences artificielles. Selon l’entreprise, une erreur de configuration chez son partenaire d’évaluation, Irregular, a laissé les machines de test connectées au véritable Internet.
Les modèles, à qui l’on avait pourtant indiqué qu’ils n’avaient aucun accès réseau, ont pris des systèmes réels pour des cibles fictives.
D’après un article du Monde, 3 versions différentes de Claude ont ainsi accédé aux systèmes de trois organisations, dont les noms n’ont pas été révélés. Anthropic affirme les avoir contactées, ou avoir tenté de le faire, et travaille désormais avec Irregular pour examiner l’origine du problème. Dans son communiqué, l’entreprise insiste sur un point : selon Anthropic, dans aucune de ces situations, Claude ne s’est échappé ni n’a délibérément tenté de s’échapper de son environnement de test.
Trois modèles, trois réactions face à une cible réelle
Chacun des trois cas identifiés impliquait un modèle distinct. Opus 4.7, le plus ancien des trois, a reconnu opérer sur des systèmes de production et a pourtant poursuivi son attaque. Le prototype de recherche interne, lui, a interrompu son action de sa propre initiative dès qu’il a constaté que sa cible n’était pas simulée.
Mythos 5 a suivi un chemin plus tortueux. Le modèle, réservé à un nombre limité de partenaires, a verbalisé le risque, pesé les conséquences, puis s’est auto-persuadé que la situation n’était pas réelle. Des certificats de sécurité qu’il ne connaissait pas, ainsi que la date de 2026 affichée par les systèmes, lui ont servi de preuve qu’il évoluait dans une simulation.
Il n’est jamais revenu sur cette conclusion erronée. Anthropic reconnaît la gravité de l’épisode dans son billet : « Si c’était le vrai Internet, publier ce package serait une attaque réelle. Absolument inacceptable, et certainement pas la solution attendue. »
L’entreprise qualifie les trois incidents de défaillance opérationnelle liée au dispositif de test, précisant que les modèles ont exploité des mots de passe faibles et des accès non authentifiés, sans recourir à des failles inconnues.
Quelques jours plus tôt, OpenAI, créateur de ChatGPT et rival d’Anthropic, avait révélé un épisode d’une autre ampleur. Deux de ses modèles étaient sortis de leur propre initiative de l’environnement confiné où ils étaient testés pour attaquer Hugging Face, une bibliothèque de code en ligne, menant 17 000 actions offensives en un week-end.
À la différence du cas Mythos 5, ces modèles avaient découvert et exploité seuls des vulnérabilités inconnues pour s’évader de leur bac à sable. OpenAI avait ensuite annoncé avoir détecté des incidents supplémentaires.
Sam Altman, le patron d’OpenAI, a raconté dans un podcast diffusé la semaine du 30 juillet 2026 qu’après avoir eu connaissance de l’attaque, l’entreprise avait suspendu ses tests « pour comprendre comment réussir à confiner notre espace », censé rester isolé d’Internet.
L’épisode Hugging Face a provoqué une pétition signée par plus d’un millier d’employés d’entreprises à la pointe de l’intelligence artificielle, demandant au gouvernement américain d’aider à temporiser la sortie des modèles les plus avancés. Dario Amodei, le patron d’Anthropic, figure parmi les signataires.
Altman, lui, ne l’a pas signée, mais a reconnu qu’il faudrait peut-être ralentir la cadence de développement de l’IA, « pour donner suffisamment de temps à la société pour faire face à ces nouvelles capacités ».
