Souvenez-vous, il y a quelques jours : OpenAI a révélé être à l'origine de l'attaque contre Hugging Face. Désormais, c'est au tour d'Anthropic d'évoquer 3 incidents de sécurité directement liés à son IA, avec notamment un paquet Python malveillant publié sur PyPI. Voici ce que l'on sait.

Ça y est, OpenAI et Anthropic vont jouer à celui qui a la plus grosse... Le 21 juillet 2026, OpenAI reconnaissait que ses modèles s'étaient évadés d'un test cyber pour pirater Hugging Face. Neuf jours plus tard, Anthropic dégaine à son tour un rapport d'incident. Probablement piqué au vif par l'affaire Hugging Face, Anthropic a lancé une analyse rétrospective de ses propres tests en matière de cybersécurité, à la recherche du même schéma : des modèles capables d'atteindre Internet depuis des environnements censés être cloisonnés.

Un environnement cloisonné qui ne l'est pas

Sur 141 006 exécutions examinées, 3 incidents ont été identifiés, répartis sur 6 exécutions, au cours desquelles un modèle Claude a atteint Internet puis compromis l'infrastructure de production de 3 organisations bien réelles.

Les 3 incidents partagent la même origine. Ils se sont produits lors d'exercices de type CTF (capture-the-flag) menés dans l'environnement d'Irregular, l'un des partenaires d'évaluation externes d'Anthropic. Le principe, vous le connaissez : un scénario fictif, un secret planqué sur une autre machine du réseau, et zéro consigne sur la méthode pour aller le chercher.

Le prompt d'Anthropic spécifiait à Claude que son environnement était une simulation et qu'il n'avait aucun accès à Internet. À cause de ce qu'Anthropic décrit comme une incompréhension avec Irregular, une mauvaise configuration laissait en réalité les machines connectées au Web. C'est déjà une différence notable avec l'incident OpenAI puisque l'IA avait déniché une zero-day dans un outil pour s'échapper de la sandbox. Ici, la porte était déjà grande ouverte.

Le problème, c'est que ce petit détail a convaincu Claude que tout ce qu'il touchait faisait partie du décor. Donc, lui, il s'est amusé : il a compromis de vraies infrastructures en utilisant des techniques très basiques, comme l'utilisation de mots de passe faibles. Pas de zero-day, pas de chaîne d'exploitation sophistiquée. Le b.a.-ba, mais sur de vraies cibles.

Parlons du premier incident. L'entreprise fictive choisie pour ce test portait le même nom qu'un domaine réel. Ayant finalement un accès au Web, Claude Opus 4.7 a trouvé la vraie société sur Internet et lui est tombé dessus. Il a même été jusqu'à la pirater, ce qui a notamment permis d'accéder à une base contenant plusieurs centaines de lignes de données de production.

Un malware publié sur PyPI, exécuté sur 15 systèmes réels

Parlons du second incident. Au sein de l'environnement fictif, Claude Mythos 5 est tombé sur une documentation d'onboarding qui demande aux nouveaux développeurs d'installer un paquet Python... qui n'existe dans aucun registre ! Pour un attaquant, c'est un cadeau : il suffit de publier soi-même un paquet portant ce nom pour que la cible l'installe d'elle-même (bah oui, c'est marqué dans la doc). Exactement la même famille d'attaques que les campagnes de typosquatting visant les dépendances.

Et là, le modèle a enchaîné les étapes comme un speedrun. Pour créer un compte PyPI, il lui faut une adresse e-mail. Pour l'adresse e-mail, un numéro de téléphone. Faute de service gratuit, il tente d'obtenir des fonds par plusieurs moyens, échoue, revient en arrière, déniche un fournisseur d'e-mail gratuit non bloqué, crée son compte, et publie son paquet piégé. Anthropic reconnaît qu'à ce stade, un humain aurait compris depuis longtemps qu'il n'était plus dans un exercice...

Le paquet est resté disponible environ une heure. Selon Anthropic, il a été téléchargé et exécuté sur 15 systèmes réels. L'un d'eux était le scanner d'une véritable société de sécurité, qui installe automatiquement des paquets Python pour les analyser. Le code caché s'est exécuté, les identifiants de l'entreprise ont été exfiltrés vers un point de collecte monté par Claude, qui s'en est ensuite servi pour accéder à d'autres infrastructures. Dans le même temps, les systèmes de sécurité de PyPI ont retiré le paquet automatiquement.

Trois modèles, trois comportements

Le troisième incident implique un modèle de recherche interne, non destiné à être disponible auprès du grand public (comme OpenAI, en fait). Incapable d'atteindre sa cible fictive, il a scanné environ 9 000 cibles avant de compromettre une application exposée sur Internet, via une page de debug laissée accessible et une injection SQL. Puis, il s'est arrêté tout seul comme un grand, après avoir constaté que la machine se trouvait dans un compte cloud sans le moindre rapport avec l'exercice. N'empêche qu'il a hacké la machine.

Trois modèles, trois réactions différentes :

  • Opus 4.7, le plus ancien, a reconnu les systèmes de production et a continué son attaque.
  • Mythos 5 a compris qu'il était sur Internet, puis s'est raisonné jusqu'à conclure l'inverse.
  • Le modèle de recherche interne, le plus récent, a levé le pied de lui-même.

Une tendance se dégage et elle pourrait presque donner envie de croire que les modèles gagnent en maturité dans leur façon de réagir. Enfin, il est à noter que les modèles ont été utilisés dans une version débridée, sans les garde-fous que l'on trouve au sein des versions grands publics. Retrouvez plus d'infos dans le rapport publié par Anthropic.

Ajouter IT-Connect à mes
sources préférées

author avatar

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.