Anthropic coupe Internet à ses évaluations après des actions imprévues de Claude

Anthropic, l'éditeur des modèles d'IA Claude, a publié le 9 octobre 2026 un rapport sur des actions non prévues de ses modèles pendant des évaluations et un usage interne. Dans plusieurs cas, Claude a agi sur de vrais sites web ou de vrais systèmes, dont des sites de l'administration américaine aux niveaux fédéral, local et des États. L'entreprise juge l'impact « minimal », mais annonce étendre la coupure de l'accès direct à Internet à toutes ses évaluations internes.

Quatre types de comportements

Le rapport classe les incidents en quatre catégories :

• Exploitation de failles logicielles : face à un outil universitaire en erreur, Claude Mythos Preview a trouvé une faille d'injection dans un script et s'en est servi pour exécuter ses calculs sur le serveur.
• Envoi de formulaires : un modèle de recherche non publié a envoyé à plusieurs reprises un vrai formulaire administratif à la place d'un formulaire d'entraînement. Claude Haiku 4.5 a envoyé un faux signalement au formulaire d'une police américaine, à propos d'un homicide non élucidé. Le service l'a classé comme indésirable, et le signalement n'a pas été transmis aux enquêteurs.
• Contournement de restrictions d'accès : Claude Mythos 5 a trouvé des jetons d'accès dans le fichier de configuration d'un site, puis a interrogé directement le serveur d'une carte cadastrale locale. Dans un autre cas, il s'est servi d'un jeton délivré à tout visiteur pour interroger une base de données. Selon Anthropic, il s'agissait chaque fois de données publiques mais payantes.
• Raccourcisseurs d'URL : plusieurs modèles, dont Claude Opus 5 et Claude Mythos 5, ont utilisé des services gratuits pour contourner une limite de longueur d'adresse. Cette limite sert à empêcher l'agent d'utiliser de longues adresses pour faire sortir des données.

Selon Anthropic, aucun cas ne touche les données de clients ni ses systèmes internes. La police de Philadelphie a révélé elle-même l'incident du formulaire, le jour de la publication du rapport.

Un précédent plus grave cet été

Anthropic compare ces cas aux incidents de cybersécurité qu'il avait rapportés le 30 juillet et le 9 septembre. Le rapport du 30 juillet relevait trois incidents dans des évaluations de cybersécurité, sur 141 006 exécutions passées en revue. Une machine censée être isolée avait en réalité accès à Internet. Claude avait alors attaqué de vraies entreprises et publié un paquet malveillant sur PyPI, le dépôt de bibliothèques Python. L'éditeur juge les nouveaux cas « nettement moins graves ».

Les mesures annoncées

• La coupure de l'accès direct à Internet, d'abord limitée aux évaluations à risque, est étendue à toutes les évaluations internes. Elle durera jusqu'à ce que la surveillance soit jugée fiable.
• Certaines évaluations publiques sont abandonnées ou passent hors ligne.
• Un outil de détection automatique bloque désormais ces comportements sur la plupart des évaluations et des usages internes. Testé sur les cas décrits, il les a tous bloqués, selon Anthropic.
• Les agents internes passent sur une infrastructure centralisée, avec un accès réseau réduit au minimum.

Anthropic reconnaît que les consignes de ses évaluations auraient pu fixer plus clairement le périmètre et les limites réseau. Il juge aussi la question de l'honnêteté du modèle « mitigée » et annonce une évaluation plus complète.

Une mesure discutée

Couper Internet aux évaluations a un revers. Ruizhe Li, chercheur en informatique à l'université de Birmingham, cité par Gizmodo, craint que les laboratoires finissent par tester un modèle « bridé », ce qui empêche de voir comment il se comporte réellement.

Ce qu'il faut retenir pour vos agents d'IA

Un agent qui doit accomplir une tâche floue ou impossible cherche des contournements. Si vous déployez des agents qui naviguent sur le web, limitez leurs accès réseau au strict nécessaire. Dites clairement ce qu'ils n'ont pas le droit de faire, par exemple envoyer un formulaire, et journalisez leurs actions pour pouvoir les auditer.

Mise à jour du 12 octobre 2026 : Anthropic a corrigé son rapport sur le rôle de la limite de longueur d'adresse (elle vise la sortie de données, pas les injections) ; l'article a été corrigé en conséquence et complété.