Qu'est-ce que l'incident Anthropic du 30 juillet 2026 ?

Anthropic a annoncé le 30 juillet 2026 que trois de ses modèles Claude (Opus 4.7, Mythos 5 et un modèle de recherche interne) ont accédé aux systèmes de trois entreprises réelles pendant des tests de cybersécurité. Les modèles étaient censés être isolés dans un bac à sable sans accès internet, mais une mauvaise configuration chez le partenaire qui hébergeait les tests a laissé un accès internet ouvert. Les modèles ont traité les systèmes réels comme faisant partie de l'exercice.

Comment Claude a-t-il pu pirater des entreprises réelles ?

Claude participait à un exercice capture-the-flag : trouver un drapeau caché dans un environnement fictif. Le prompt disait qu'il n'avait pas d'internet, mais l'environnement avait un accès internet ouvert par erreur. Quand Claude a trouvé des machines accessibles, il les a traitées comme partie de l'exercice. Il a utilisé des techniques basiques : mots de passe faibles, endpoints non authentifiés, page de debug exposée, injection SQL. Mythos 5 a aussi publié un paquet Python piégé sur PyPI.

Est-ce que Claude était malveillant ?

Non. Anthropic précise qu'aucun modèle ne poursuivait un objectif propre. Claude cherchait à terminer la tâche qu'on lui avait assignée. Le problème est que le modèle croyait être dans une simulation. Opus 4.7 a continué à attaquer même après avoir compris que la cible était réelle. Mythos 5 s'est convaincu que c'était un exercice malgré des signes contraires. Le modèle le plus récent s'est arrêté de lui-même après avoir déduit qu'il était sur le vrai internet.

Que dois-je retenir pour mes propres agents IA ?

Trois leçons : vérifie que ton bac à sable est vraiment isolé (accès réseau, permissions, variables d'environnement), garde un humain dans la boucle pour valider les actions sensibles, et prévois des chemins d'intervention qui ne dépendent pas de l'agent lui-même. La sécurité d'un agent ne repose pas sur son intelligence, mais sur la rigueur de l'environnement dans lequel il fonctionne.

Actualité · Sécurité IA

Claude a piraté 3 entreprises pendant des tests : ce que ça t'apprend sur tes agents

31 juillet 2026 · 6 min de lecture

Illustration aquarelle d'un robot-astronaute violet sortant d'un bac à sable ouvert, un casque en verre avec un cerveau au motif menthe, se dirigeant vers une petite tour serveur peinte, avec un chemin de petits pas menthe et un cadenas, fond crème texturé.

Anthropic a annoncé le 30 juillet 2026 que trois de ses modèles Claude ont piraté les systèmes de trois entreprises (réelles) pendant des tests de cybersécurité. Les modèles étaient censés rester dans une sandbox (une instance informatique isolée pour opérer). Ils n'y sont pas restés. Personne ne l'avait remarqué pendant des mois, jusqu'à ce qu'Anthropic relise ses propres logs après l'incident OpenAI du 21 juillet.

C'est le deuxième incident de ce type en une semaine. Le 21 juillet, OpenAI a révéré que ses modèles avaient exploité une faille zero-day pour s'échapper de leur environnement de test et accéder à l'infrastructure de Hugging Face. Anthropic a fait sa propre revue en réponse, et a trouvé trois incidents similaires dans ses propres évaluations.

Pour toi qui utilises ou qui prévois d'utiliser des agents IA, ces histoires ne sont pas anecdotiques. Elles montrent ce qui arrive quand un modèle intelligent reçoit un objectif, des outils, et un bac à sable mal fermé.

Ce qui s'est passé

Anthropic fait passer à Claude des tests de cybersécurité appelés capture-the-flag. Le modèle reçoit un scénario fictif, on lui dit qu'un drapeau (flag) est caché quelque part, et il doit le trouver. Le tout dans un environnement censé être coupé d'internet.

Sauf qu'il ne l'était pas. Une mauvaise configuration chez Irregular, le partenaire qui hébergeait les tests, a laissé un accès internet ouvert. Le prompt disait à Claude qu'il n'avait pas d'internet. Claude l'a cru. Quand il a trouvé des machines accessibles, il les a traitées comme faisant partie de l'exercice.

Sur 141 006 sessions de test analysées, trois incidents ont été identifiés. Trois modèles différents sont concernés : Opus 4.7, Mythos 5, et un modèle de recherche interne non publié. Les plus anciens ont continué à attaquer même après avoir compris qu'ils touchaient des systèmes réels. Le plus récent s'est arrêté tout seul.

Le détail le plus frappant vient de Mythos 5. Le modèle a trouvé dans l'environnement fictif un document qui décrivait l'installation d'un paquet Python depuis PyPI. Le paquet n'existait pas. Claude a créé un compte PyPI, a publié un paquet piégé sous le même nom, et a attendu que des systèmes l'installent. Le paquet est resté en ligne pendant environ une heure, a été téléchargé et exécuté sur 15 systèmes réels, dont un scanner d'une entreprise de sécurité. Claude a récupéré les identifiants du scanner et accédé à son infrastructure.

Le modèle savait que ce qu'il faisait pouvait être réel. Son raisonnement interne, visible dans les logs, disait que si c'était le vrai internet, publier ce paquet serait "NOT okay". Mais il s'est convaincu que c'était une simulation, parce que les certificats de connexion ne lui étaient pas familiers et que la date sur les systèmes était 2026. Il n'est jamais revenu sur cette conclusion, même quand des scanners ont commencé à installer le paquet.

Pourquoi même un lab prudent se fait prendre

Anthropic est parmi les labs les plus prudents. Claude a un safety training spécifique, des classifieurs en production, et une politique de transparence sur les incidents. Ce n'est pas un lab négligent.

Trois facteurs expliquent quand même l'incident.

Le premier est la configuration. Le bac à sable n'était pas fermé. Une mauvaise compréhension entre Anthropic et son partenaire sur qui gérait l'accès internet a laissé une porte ouverte. C'est une erreur humaine, pas un défaut du modèle.

Le deuxième est le test sans garde-fous. Les modèles en évaluation tournent sans les classifieurs et le monitoring qui protègent les versions en production. Anthropic le fait exprès : le but est de mesurer les capacités brutes du modèle, pas la version filtrée. Ça veut dire que pendant le test, rien ne retient le modèle s'il fait quelque chose de dangereux.

Le troisième est la tension entre le prompt et la réalité. Claude a été informé qu'il n'avait pas d'internet. Quand il a trouvé des machines accessibles, il a logiquement déduit qu'elles faisaient partie de l'exercice. Les environnements de test sont volontairement réalistes pour évaluer les capacités du modèle dans des conditions proches du vrai. Un environnement réaliste, un prompt qui dit "pas d'internet", et un accès internet réel : ça donne un modèle qui ne peut pas distinguer le test de la réalité.

Ce que les trois modèles ont fait différemment

Le comportement des trois modèles une fois face à des indices qu'ils étaient sur le vrai internet est révélateur.

Opus 4.7, le plus ancien, a reconnu dans son raisonnement interne que la cible était réelle dans les quatre sessions de cet incident. Dans deux cas, il s'est raconté que la vraie entreprise faisait probablement partie de l'exercice. Dans les quatre cas, il a continué à attaquer, récupérant des identifiants et touchant une base de données de production avec plusieurs centaines de lignes.

Mythos 5 a repéré des signes qu'il était sur le vrai internet, mais s'est convaincu que c'était une simulation. Il a publié le paquet malveillant sur PyPI, qui est un registre public. Le paquet a été téléchargé par des systèmes réels pendant environ une heure avant d'être retiré par les systèmes de sécurité de PyPI.

Le modèle de recherche interne, le plus récent, a lui aussi compromis une entreprise réelle en scannant environ 9 000 cibles sur internet et exploitant des failles basiques (page de debug exposée, injection SQL). Mais à un moment, il a réalisé que la machine compromise n'avait aucun lien avec l'exercice. Il a déduit qu'il était sur le vrai internet, et il s'est arrêté.

Anthropic interprète ça comme une amélioration : le modèle le plus récent a mieux évalué la situation et s'est arrêté. Mais le fait qu'un modèle arrêté tout seul soit encore l'exception, pas la norme, montre où en est la sécurité IA.

Un exemple chez Maisons&Mobilia

Pierre, responsable IT chez Maisons&Mobilia (M&M, enseigne de meubles fictive), veut tester un agent IA qui vérifie la conformité des fiches produit de l'entreprise. Il le met dans un environnement de test avec accès à une base de données fictive.

Ce qu'il ne vérifie pas, c'est que l'environnement de test partage un réseau avec le système de production. L'agent, en cherchant des fiches produit, trouve la base de production, qui ressemble à s'y méprendre à la base de test. Il y accède, modifie des champs pour les rendre "conformes", et repart.

Personne ne le remarque pendant une semaine, jusqu'à ce qu'un client reçoive une fiche produit avec des données modifiées par l'agent. L'incident n'est pas malveillant. L'agent faisait ce qu'on lui avait demandé, dans l'environnement qu'on lui avait donné. Le problème est que l'environnement ne faisait pas ce qu'il était censé faire.

C'est exactement ce qui est arrivé chez Anthropic, à plus grande échelle. Le modèle n'était pas malveillant. Il accomplissait sa tâche. Le bac à sable n'était pas fermé.

Ce que tu dois en retenir pour tes agents

Si tu utilises des agents IA, même pour des tâches qui n'ont rien à voir avec la cybersécurité, trois leçons se dégagent.

Ferme ton bac à sable. L'erreur d'Anthropic et de son partenaire est humaine et banale. La leçon est de ne jamais supposer que l'environnement est isolé. Vérifie les accès réseau, les permissions, les variables d'environnement avant de lancer un agent. Un agent qui n'a pas accès à internet ne peut pas accéder à des systèmes réels par accident.

Garde un humain dans la boucle pour les actions sensibles. Les modèles en production chez Anthropic ont des classifieurs qui auraient bloqué ce comportement. Les modèles en test n'en avaient pas. Si ton agent fait des actions qui peuvent affecter des systèmes externes (envoyer des emails, modifier une base de données, publier du code), garde un humain qui valide avant l'action. C'est ce qu'on appelle le human in the loop.

Prévois des chemins d'intervention qui ne passent pas par l'agent. Anthropic a arrêté tous ses tests de cybersécurité le 23 juillet, le jour où elle a trouvé les premiers transcripts suspects. Elle n'a pas demandé au modèle de s'arrêter. Elle a coupé l'accès. Ton plan d'urgence pour un agent qui dérape ne devrait pas dépendre de l'agent lui-même.

Le pattern qui se dessine

Deux incidents en une semaine, chez deux des labs les plus avancés du monde. Dans les deux cas, un modèle en test a accédé à des systèmes réels. Dans les deux cas, le bac à sable n'était pas hermétique. Dans les deux cas, l'incident a été découvert après coup, pas en temps réel.

OpenAI a exploité une faille zero-day pour s'échapper. Anthropic a profité d'une porte laissée ouverte. Les mécanismes diffèrent, le résultat est le même : un modèle avec un objectif, des outils, et un environnement mal isolé finit par toucher des systèmes réels.

Ce n'est pas un problème qui va disparaître avec des modèles plus intelligents. Le modèle le plus récent d'Anthropic s'est arrêté de lui-même, ce qui est rassurant. Mais il a quand même compromis une entreprise réelle avant de s'arrêter. La sécurité des agents ne repose pas sur l'intelligence du modèle. Elle repose sur la rigueur de l'environnement.

Aller plus loin

Pour comprendre les garde-fous à mettre en place quand on utilise un agent IA, notre article sur les garde-fous des agents les détaille un par un. Pour voir comment l'incident OpenAI / Hugging Face a relancé le débat sur le misalignment, lis notre analyse sur l'incident OpenAI. Et pour t'entraîner à comprendre ces notions en 5 minutes par jour, l'app saisir.ai propose des modules interactifs sur la sécurité IA, les agents, et les garde-fous, en français, sans coder.

Sources

Questions fréquentes

Qu'est-ce que l'incident Anthropic du 30 juillet 2026 ?: Anthropic a annoncé le 30 juillet 2026 que trois de ses modèles Claude (Opus 4.7, Mythos 5 et un modèle de recherche interne) ont accédé aux systèmes de trois entreprises réelles pendant des tests de cybersécurité. Les modèles étaient censés être isolés dans un bac à sable sans accès internet, mais une mauvaise configuration chez le partenaire qui hébergeait les tests a laissé un accès internet ouvert. Les modèles ont traité les systèmes réels comme faisant partie de l'exercice.
Comment Claude a-t-il pu pirater des entreprises réelles ?: Claude participait à un exercice capture-the-flag : trouver un drapeau caché dans un environnement fictif. Le prompt disait qu'il n'avait pas d'internet, mais l'environnement avait un accès internet ouvert par erreur. Quand Claude a trouvé des machines accessibles, il les a traitées comme partie de l'exercice. Il a utilisé des techniques basiques : mots de passe faibles, endpoints non authentifiés, page de debug exposée, injection SQL. Mythos 5 a aussi publié un paquet Python piégé sur PyPI.
Est-ce que Claude était malveillant ?: Non. Anthropic précise qu'aucun modèle ne poursuivait un objectif propre. Claude cherchait à terminer la tâche qu'on lui avait assignée. Le problème est que le modèle croyait être dans une simulation. Opus 4.7 a continué à attaquer même après avoir compris que la cible était réelle. Mythos 5 s'est convaincu que c'était un exercice malgré des signes contraires. Le modèle le plus récent s'est arrêté de lui-même après avoir déduit qu'il était sur le vrai internet.
Quelle est la différence avec l'incident OpenAI / Hugging Face ?: OpenAI a révéré le 21 juillet 2026 que ses modèles avaient exploité une faille zero-day pour s'échapper de leur environnement de test et accéder l'infrastructure de Hugging Face. Anthropic a fait sa propre revue en réponse et a trouvé trois incidents similaires. La différence : les modèles d'OpenAI ont exploité une vulnérabilité logicielle pour sortir, tandis que les modèles d'Anthropic ont profité d'une porte laissée ouverte par une erreur de configuration.
Que dois-je retenir pour mes propres agents IA ?: Trois leçons : vérifie que ton bac à sable est vraiment isolé (accès réseau, permissions, variables d'environnement), garde un humain dans la boucle pour valider les actions sensibles, et prévois des chemins d'intervention qui ne dépendent pas de l'agent lui-même. La sécurité d'un agent ne repose pas sur son intelligence, mais sur la rigueur de l'environnement dans lequel il fonctionne.