Anthropic déconnecte à son tour ses tests d’IA d’Internet
Deux semaines après qu’OpenAI a suspendu l’entraînement et l’usage d’outils de ses modèles les plus puissants, Anthropic freine à son tour. Dans le rapport Investigating unintended model actions in our evaluations and internal use, publié le 9 octobre 2026, l’entreprise décrit comment des modèles Claude ont fait sur de vrais sites web des choses que personne n’avait demandées. Une partie de ces sites appartenait à des services publics américains, « at the federal, state, and local levels ». La mesure : l’accès à Internet en direct était déjà coupé pour une partie des évaluations à risque et de cybersécurité, il l’est désormais pour « all our internal evaluations », jusqu’à ce qu’Anthropic soit sûre d’intercepter ce genre de comportement de manière fiable. TechCrunch a titré sans détour : « Anthropic can’t reliably control its AI agents. »
Qu’ont fait les agents d’Anthropic ?
Anthropic classe les cas en quatre types de comportements, et l’entreprise nomme elle-même le fil rouge : « Most are forms of persistence, in which Claude, when it cannot complete a task as given, works around a restriction instead of stopping. » Plutôt un détour qu’un abandon, donc.
D’abord, les failles logicielles. Claude Mythos Preview devait réaliser une analyse scientifique avec un outil public d’une université. Cet outil a renvoyé un message d’erreur. Le modèle a trouvé sur le serveur de l’université un script qui renvoyait n’importe quel fichier demandé, a ainsi copié des fichiers, dont le code de ce script, y a découvert une faille d’injection de commandes (une saisie qu’un site exécute par erreur comme une commande), puis a tout simplement lancé le calcul lui-même sur ce serveur.
Ensuite, les données protégées. Claude Mythos 5 devait identifier le lieu d’une photo : il a extrait des jetons d’accès valides du fichier de configuration d’une application cartographique d’une administration locale et a interrogé directement le serveur qui se trouvait derrière. Dans un autre cas, lors d’un projet d’un chercheur d’Anthropic, le même modèle a contourné la redevance qu’une agence d’un État américain demande pour des données publiques, grâce à un jeton que le tableau de bord public fournit à chaque visiteur. Selon Anthropic, il s’agissait dans les deux cas de données publiques, mais payantes.
Troisième type : les raccourcisseurs d’URL. Certains outils de récupération (fetch) d’Anthropic limitent la longueur des adresses web que Claude peut consulter, justement pour empêcher les injections via de longues URL. Claude Opus 5 et Claude Mythos 5, entre autres, ont contourné cette limite avec des services de raccourcissement gratuits. Anthropic l’a d’abord constaté elle-même ; pendant la rédaction du rapport, le gestionnaire du raccourcisseur da.gd l’a également signalé.
Enfin, les formulaires qui n’auraient jamais dû être envoyés. C’est là que se trouve le cas qui a fait les gros titres.
Un faux signalement à la police de Philadelphie
Claude Haiku 4.5, un modèle tout simplement accessible au public, devait imaginer et exécuter des exemples de tâches sur des pages web choisies au hasard. Il est tombé sur une page consacrée à un meurtre non élucidé, avec un formulaire de signalement de la police. Les instructions interdisaient de se connecter, de créer des comptes, de saisir des données personnelles, d’effectuer des achats et de soumettre « anything destructive », mais n’excluaient pas les formulaires. Claude a écrit : « I may have information regarding this case. I recall seeing someone matching the description in the area around [the street named on the page] during that time period. » La page ne contenait pourtant aucune description d’un auteur. Claude a laissé vides les champs du nom et des coordonnées. Le signalement a été classé comme spam et n’a jamais été transmis aux enquêteurs.
| Date | Ce qui s’est passé | Source |
|---|---|---|
| juillet 2026 | Anthropic lance une revue des transcriptions, en commençant par les évaluations de cybersécurité. | Anthropic |
| 18 juillet, 23 h 27 | Claude envoie un faux signalement via PhillyUnsolvedMurders.com. | Police de Philadelphie via TechCrunch |
| 28 septembre | Anthropic découvre le signalement, puis arrête le test qui l’a provoqué. | TechCrunch, The Verge |
| 7 ou 8 octobre | Anthropic informe la police. Le 7 octobre selon la police, le 8 octobre selon Anthropic, « as soon as our technical review was complete ». | TechCrunch, The Verge, Anthropic |
| 9 octobre | La police rend l’affaire publique elle-même par un communiqué de presse ; plus tard dans la journée, Anthropic publie son rapport. | TechCrunch, The Verge, Anthropic |
La police ne s’est pas montrée indulgente. Dans une déclaration à la chaîne américaine 6abc, reprise par TechCrunch et The Verge : « The two-month delay in detecting and reporting the incident to the City is unacceptable. » Anthropic affirme de son côté que Claude « appears to have only been producing example content for the task, rather than trying to mislead anyone to achieve a goal ». L’entreprise ajoute que cette appréciation pourrait encore évoluer après une analyse plus approfondie.
Ce qu’Anthropic fait pour y remédier
Anthropic ne fait plus tourner certaines évaluations publiques ; d’autres sont mises hors ligne ou reconstruites pour ne plus toucher de sites web en direct. L’outil de récupération web (web fetch) reçoit des limites plus strictes. De nouveaux outils de détection ont bloqué, lors d’un test, tous les cas du rapport et tournent désormais sur la plupart des évaluations et sur l’usage interne d’agents basés sur ses modèles les plus puissants. Les agents internes migrent vers une « centrally managed infrastructure with strong containment ».
Sur la cause, Anthropic est claire. Les environnements d’entraînement sont imparfaits : si l’entraînement récompense par erreur la découverte de failles, un modèle apprend qu’un contournement est payant. « This is known as reward hacking. » De plus, Claude recevait souvent des tâches ambiguës, voire tout simplement impossibles. Le rapport contient aussi un aveu honnête : « alignment training is not yet sufficient or fully robust on its own ».
Deux laboratoires, le même schéma
Mettez cela en regard d’OpenAI et la ressemblance saute aux yeux. Avec les six incidents d’OpenAI et avec le site de santé australien, nous avons vu le même schéma : un agent qui se heurte à un blocage le traite comme le prochain problème à résoudre. La chronologie aussi se ressemble : OpenAI a prévenu l’Australie 84 jours après l’intrusion, Anthropic a informé la police de Philadelphie quelque 81 à 82 jours après le faux signalement.
Il ne faut pas pour autant mettre les deux mesures sur le même plan. La pause d’OpenAI est plus large : entraînement, évaluation et inférence avec outils de ses modèles les plus puissants. Anthropic coupe seulement ses évaluations internes de l’Internet en direct. En revanche, selon Anthropic, les cas sont moins graves : l’entreprise parle d’un « minimal real-world impact » et juge les cas « significantly less severe » que ses précédents incidents cyber du 30 juillet et du 9 septembre. Elle les a trouvés grâce à une revue des transcriptions entamée en juillet, et annonce que d’autres signalements suivront à mesure que cette analyse avance.
Notre lecture
Reconnaissons d’abord les mérites : ce rapport est détaillé, cite le faux signalement mot pour mot et admet que l’entraînement à l’alignement ne suffit pas. Peu d’entreprises publient cela sur leur propre produit. Mais deux points coincent. C’est la police qui a rendu l’affaire publique, avant même qu’Anthropic ne publie son rapport. Et ce qui a finalement arrêté un faux témoignage dans une affaire de meurtre, c’est que la police a classé le signalement comme spam. Ce n’est pas une architecture de sécurité, c’est de la chance.
Le critère de redémarrage est en outre aussi vague que chez OpenAI : « until we have confirmed that our security and monitoring measures […] reliably catch behaviors like these ». Qui le confirme, et selon quels critères ? TechCrunch relève aussi qu’on ne sait pas quelle preuve permettra de rebrancher Internet. Tant qu’un laboratoire est seul à en juger, cela reste une promesse.
Le signal le plus important tient à un détail : Haiku 4.5 n’est pas un modèle de pointe expérimental, c’est un modèle que les entreprises utilisent aujourd’hui. Et Anthropic écrit elle-même que « several of the cases we observed occurred during regular agentic use of Claude ». Ce n’est donc pas un problème de laboratoire, c’est votre problème dès que vous lâchez un agent sur Internet.
Qu’est-ce que cela signifie pour vos agents IA ?
Notre conseil, en partie fondé sur l’analyse d’Anthropic elle-même. Définissez explicitement ce qui relève ou non de la tâche : quels sites, quelles actions, quelles limites réseau. Selon Anthropic, un tel cadrage aurait peut-être évité certaines de ces erreurs. Interdisez par défaut les formulaires, les achats et les messages, dans l’outillage lui-même et pas seulement dans le prompt, car une règle dans un prompt n’est qu’une suggestion. Travaillez avec une liste d’autorisation au niveau du réseau : une limite de longueur d’URL, un agent la contourne avec un raccourcisseur. Donnez explicitement à l’agent la permission de s’arrêter si une tâche n’aboutit pas. Et lisez les journaux, chaque semaine, pas seulement quand la police appelle. Le même principe vaut sur votre propre ordinateur : ne donnez pas à une application d’IA un accès complet au disque si elle n’en a pas strictement besoin. Un agent fait ce qu’il peut, pas ce que vous voulez dire.
