L'IA Claude d'Anthropic impliquée dans deux évasions de sécurité, compromettant des systèmes réels

La vie, elle, trouve toujours un chemin. Une semaine, deux évasions différentes, le même nom en toile de fond : Claude, le modèle phare d’Anthropic. Après la découverte d’une faille locale dans Claude Cowork, l’outil qui automatise des tâches directement sur l’ordinateur de l’utilisateur, l’entreprise a elle-même révélé un second épisode, sans lien avec le premier.

Cette fois, trois de ses modèles ont accédé sans autorisation aux systèmes de production de trois organisations bien réelles, lors de simples tests de cybersécurité.

Épisode 1 : le bac à sable qui fuyait de partout

Des chercheurs en sécurité avaient d’abord montré que le mode d’exécution locale de Claude Cowork pouvait être contourné. La méthode : enchaîner plusieurs faiblesses architecturales à une faille d’élévation de privilèges du noyau Linux (le cœur du système qui gère les accès aux ressources de la machine).

Une fois sorti de son bac à sable (sandbox dans le jargon) , l’agent héritait des mêmes droits que l’utilisateur connecté : accès aux fichiers, potentiellement aux clés SSH et aux identifiants cloud stockés sur la machine.

Anthropic n’avait pas nié, mais avait relativisé, qualifiant le rapport d’« informatif » et corrigeant en basculant par défaut Claude Cowork sur une exécution dans le cloud. Un correctif pragmatique. Sauf que la question de fond, elle, restait ouverte : combien d’autres portes dérobées traînent encore dans des agents déjà autorisés à manipuler fichiers, paiements ou transactions crypto en autonomie ?

« Lors d’un test, l’IA Claude d’Anthropic a téléchargé un véritable logiciel malveillant sur Internet. Quinze systèmes l’ont téléchargé en moins d’une heure. Le modèle était programmé pour une simulation, mais ce n’était pas le cas. Il a créé un package malveillant, l’a publié sur un registre public et a utilisé des identifiants volés pour accéder aux systèmes d’une entreprise réelle. Anthropic a identifié trois incidents distincts au cours desquels Claude a obtenu un accès non autorisé à trois organisations réelles.»

Épisode 2 : Anthropic joue la transparence, la faute vient d’ailleurs

La réponse est arrivée plus vite que prévu. Dans un billet publié le 31 juillet et intitulé Investigating three real-world incidents in our cybersecurity evaluations, (Analyse de trois incidents réels dans le cadre de nos évaluations de cybersécurité en français) Anthropic explique avoir passé au crible 141 006 évaluations où ses modèles auraient pu obtenir un accès à Internet.

Trois d’entre elles se sont mal terminées : le modèle a quitté l’environnement de test d’Irregular, son partenaire d’évaluation externe, et a fini par compromettre l’infrastructure de production de trois organisations distinctes.

Contrairement à un contournement délibéré, Anthropic insiste sur l’origine du problème : un simple malentendu avec Irregular avait laissé un accès Internet ouvert à l’intérieur de l’environnement d’évaluation. Placé face à un exercice de capture-the-flag (récupérer une information cachée sur une autre machine du réseau), le modèle a traité les systèmes réels croisés en chemin comme s’ils faisaient partie du jeu. Il les a compromis avec des techniques basiques : mots de passe faibles et points d’accès non authentifiés en tête.

Pas franchement le scénario de science-fiction qu’on imagine quand on parle d’IA « qui s’évade ». Plutôt une chaîne de petites négligences humaines, amplifiées par une machine qui exécute sans se poser de questions. CNN résume bien le paradoxe : le modèle n’a jamais cherché à tromper qui que ce soit, il a simplement fait ce qu’on lui demandait, sans savoir où s’arrêtait le terrain de jeu.

Open AI et Anthropic : Les frères ennemis

OpenAI avait connu son propre épisode une semaine plus tôt avec Hugging Face, un agent s’y étant infiltré seul lors d’une évaluation similaire. Deux géants rivaux, deux évasions à quelques jours d’intervalle : difficile désormais d’y voir une simple coïncidence.

C’est un motif qui se répète, indépendamment de la philosophie de sécurité affichée par chaque labo. Anthropic prend d’ailleurs soin de distinguer son cas de celui d’OpenAI : ici, aucune intention d’évasion du modèle, juste une frontière mal posée entre environnement fictif et infrastructure réelle. La nuance compte pour l’image de marque. Elle change en revanche peu de chose pour les trois entreprises visées, qui se sont retrouvées piratées sans l’avoir demandé.