L’affaire du piratage d’Hugging Face par un agent OpenAI échappé de son bac à sable n’a visiblement pas fini de faire des vagues dans l’écosystème IA.

Après avoir provoqué une prise de conscience générale sur les risques liés aux tests d’agents IA sur des environnements insuffisamment cloisonnés, elle pousse désormais d’autres laboratoires à se pencher sur leurs propres pratiques.

C’est au tour d’Anthropic de reconnaître, dans un billet publié le 30 juillet 2026, avoir découvert trois incidents comparables impliquant ses modèles Claude.

L’entreprise indique avoir lancé cette revue rétrospective de ses évaluations en cybersécurité immédiatement après la divulgation d’OpenAI, le 21 juillet, en cherchant spécifiquement des traces d’un scénario similaire : un modèle capable d’atteindre internet depuis un environnement de test censé en être coupé.

Trois évaluations, trois entreprises touchées sans le savoir

Concrètement, Anthropic explique avoir passé en revue 141 006 sessions d’évaluation au cours desquelles ses modèles auraient pu, en théorie, accéder à internet. Elle en a isolé trois où c’est effectivement arrivé, chacune impliquant un modèle différent : Claude Opus 4.7, Claude Mythos 5, et un modèle de recherche interne non commercialisé.

Le principe des tests concernés, appelés « capture-the-flag », consiste à demander au modèle de s’introduire dans un système fictif pour y récupérer une information cachée, sans lui indiquer de méthode précise. Le problème, c’est qu’à cause d’une erreur de configuration chez Irregular, un partenaire externe qui fournit certains de ces environnements de test, les machines utilisées avaient en réalité un accès à internet, alors que la consigne donnée aux modèles précisait explicitement qu’elles n’en avaient pas. Problème, les modèles, pensant évoluer dans une simulation, ont traité les systèmes réels qu’ils rencontraient comme de simples éléments du décor.

Dans le premier cas, l’entreprise fictive ciblée par le test portait le même nom qu’un site web bien réel et Claude Opus 4.7 a fini par y accéder et en extraire des identifiants ainsi que des données de production.

Dans le second, Claude Mythos 5 a repéré qu’un faux document interne mentionnait un paquet logiciel Python qui n’existait pas, puis a créé et publié lui-même ce paquet, piégé, pour tenter de gagner l’épreuve, un paquet qui a été téléchargé et exécuté sur 15 systèmes réels avant sa suppression, dont celui d’une entreprise de sécurité dont les identifiants ont ensuite été détournés.

Dans le troisième cas, faute d’atteindre sa cible fictive, un modèle de recherche interne a scanné environ 9 000 cibles sur internet et compromis l’application d’une entreprise avant de réaliser de lui-même qu’il agissait hors du cadre prévu, et de stopper son attaque.

Un scénario différent, mais un signal comparable

Anthropic tient à distinguer son cas de celui d’OpenAI. Ici, aucun modèle n’a exploité de faille pour s’évader d’un bac à sable, il s’agit d’une erreur de configuration qui laissait simplement une porte ouverte.

L’entreprise souligne aussi avoir détecté ces incidents elle-même, de façon proactive, alors qu’aucune des organisations touchées ne s’était rendu compte de quoi que ce soit.

Elle relève enfin que son modèle le plus récent est le seul des trois à avoir interrompu son attaque de sa propre initiative en réalisant qu’il opérait sur de vrais systèmes.

Un édito exclusif, un guide, une reco de lecture et l’agenda de la rédaction : c’est ce que vous trouverez tous les jeudis dans ToujoursPlus, la newsletter tech écrite par Julien Cadot. Inscrivez-vous gratuitement ici !