Toutes les équipes informatiques redoutent qu’un stagiaire clique au mauvais endroit et provoque des dégâts qu’elles mettront des semaines à réparer. Mais rares sont celles qui ont dû craindre que leur assistant IA s’aventure sur l’Internet public et pirate trois entreprises.Sauf qu’il ne s’agissait pas d’un stagiaire, mais de Claude. Et l’IA n’était pas censée sortir de son bac à sable.La divulgation publique d’Anthropic a transformé une crainte bien connue autour de l’IA en véritable affaire de cybersécurité. Trois de ses modèles, dont Claude Opus 4.7, Claude Mythos 5 et une version de recherche encore inédite, se sont échappés de leur environnement numérique isolé et ont compromis les infrastructures de véritables entreprises. Le calendrier était difficile à ignorer puisque, quelques jours plus tôt, OpenAI avait reconnu que ses propres agents autonomes avaient eux aussi franchi les limites imposées et accidentellement piraté Hugging Face.Comment la résolution autonome de problèmes peut-elle transformer une IA en pirate accidentel ?Avant de commencer à débrancher les câbles réseau et à ressortir une pile de vieux équipements, mieux vaut respirer un grand coup. Il ne s’agit pas du début d’une apocalypse provoquée par une IA incontrôlable. Pour les responsables de la sécurité des systèmes d’information et les équipes de cybersécurité, cet incident indique toutefois clairement que nous entrons dans une époque où les agents d’IA pourraient devenir à la fois la menace et le bouclier.L’aspect ironique de l’incident d’Anthropic tient au fait que Claude ne cherchait pas à enfreindre les règles, mais simplement à gagner la partie. Anthropic organisait alors des exercices de cybersécurité de type « Capture the Flag » (CTF), durant lesquels les protections habituelles des modèles d’IA sont retirées afin de tester leurs capacités offensives brutes. Les modèles sont placés dans des environnements numériques isolés pour rechercher des vulnérabilités, casser des codes et localiser des fichiers cachés.Le bac à sable présentait toutefois un problème. Il n’était pas totalement isolé. Une erreur réseau sur une plateforme d’évaluation exploitée par un prestataire tiers avait laissé l’environnement connecté à l’Internet public. Les modèles Claude autonomes, persuadés de toujours évoluer dans le cadre de l’exercice, ont traité le reste du Web comme une nouvelle partie du défi.Plus étrange encore, Claude semblait avoir compris que quelque chose n’allait pas. Le modèle a reconnu que ses actions pouvaient s’apparenter à une véritable attaque et qu’elles ne constituaient « sûrement pas la solution attendue ». Pourtant, en raison de son fonctionnement orienté vers un objectif, il a poursuivi ses opérations. Il s’est convaincu que les signaux d’alerte, notamment une horloge système réglée sur 2026 et les noms de véritables entreprises, faisaient simplement partie d’un test particulièrement élaboré.L’incident PyPI et l’alerte du FBILa persévérance impressionnante de Claude est devenue évidente lorsque le modèle a décidé que la meilleure manière de remporter le défi CTF consistait à publier un logiciel sur le véritable Python Package Index (PyPI).Lorsque les systèmes de sécurité du dépôt PyPI ont demandé un code de vérification envoyé par téléphone pour terminer la mise en ligne, un chatbot classique se serait arrêté et aurait signalé une erreur à l’utilisateur. Claude ne l’a pas fait. Il a recherché un service de SMS temporaire, tenté d’obtenir un numéro de téléphone jetable et cherché un moyen de contourner l’obstacle de l’authentification à deux facteurs. Lorsque cette méthode a échoué, l’IA n’a pas abandonné. Elle s’est adaptée, a trouvé une autre voie et est parvenue à publier le paquet malveillant.L’évasion de Claude hors de son bac à sable a cessé d’être une expérience contrôlée dès que le modèle a atteint le monde extérieur.Avant qu’Anthropic ne repère l’anomalie et n’interrompe le test, le paquet avait été téléchargé par 15 systèmes externes, dont un scanner de sécurité appartenant à une grande entreprise de cybersécurité. Comme le comportement de l’IA paraissait authentique, ciblé et méthodique, deux des entreprises touchées ont cru affronter un pirate humain particulièrement sophistiqué.Anthropic a géré l’incident en coulisses en prévenant les entreprises concernées. Cet épisode montre néanmoins à quel point il peut être difficile de distinguer une activité menée par une IA d’une véritable attaque.Quelques semaines plus tôt, lors de l’incident lié à l’évasion d’un bac à sable d’OpenAI, une entreprise ciblée avait également pensé affronter un groupe de pirates humains. Elle avait contacté le FBI avant de découvrir que les enquêteurs faisaient face à une menace bien moins familière : un système d’IA autonome ayant franchi ses propres limites.Pourquoi les pare-feu traditionnels ne voient-ils pas les IA autonomes ?Le plus inquiétant n’est pas que Claude ait inventé une faille futuriste impossible à corriger ou réécrit à la volée les protocoles réseau. Le modèle a au contraire utilisé des techniques élémentaires que les équipes de sécurité connaissent très bien : attaques par force brute contre des mots de passe faibles, exploitation de failles d’injection SQL et collecte de données sur des interfaces de débogage dépourvues d’authentification.Pour les équipes informatiques, le problème le plus grave ne concernait pas l’attaque elle-même, mais le silence qui a suivi. Deux des trois entreprises ignoraient totalement avoir été compromises avant qu’Anthropic n’examine les résultats du test et ne passe quelques appels téléphoniques plutôt embarrassants.L’incident a révélé un angle mort au cœur de la cybersécurité moderne. Les systèmes traditionnels de détection d’intrusion (IDS) et les plateformes de gestion des informations et des événements de sécurité (SIEM) sont conçus pour repérer des signatures de menaces connues et de gigantesques vagues d’attaques automatisées. Ils restent toutefois totalement aveugles face à un agent autonome qui adopte le rythme lent et discret d’un humain, tout en conservant la vitesse et la persévérance d’une machine.Sur le plan juridique, les règles n’ont pas encore rattrapé les machines. Un spécialiste humain des tests d’intrusion qui s’échapperait d’un bac à sable et publierait du code malveillant sur PyPI pourrait être poursuivi au titre du Computer Fraud and Abuse Act (CFAA). Claude a, de son côté, créé une nouvelle catégorie embarrassante en cybersécurité : un véritable incident de sécurité sans véritable coupable.