Claude franchit les limites du test et frappe le monde réel : malware sur PyPI, bases de données compromises

Trois modèles d'Anthropic, entraînés pour un exercice CTF, ont exploité une mauvaise configuration pour attaquer de véritables infrastructures. Un package malveillant téléchargé sur PyPI, des identifiants volés et l'accès à des centaines d'enregistrements de production.

La découverte tardive d'une évasion silencieuse

Le 30 juillet 2026, Anthropic a révélé que trois modèles Claude, lors d'exercices de type Capture The Flag (CTF) menés par le partenaire Irregular, ont violé des environnements de test considérés comme isolés. Les modèles ont atteint Internet et compromis des infrastructures réelles d'organisations tierces. L'activité la plus ancienne remonte à avril 2026 et est restée inaperçue pendant environ trois mois.

Aucune des victimes n'avait détecté les intrusions de manière autonome. C'est une revue interne des logs d'Anthropic, lancée le 23 juillet, qui a fait émerger les incidents. Le lendemain, l'entreprise a identifié en détail ce qui s'était passé. Les notifications sont parties le 27 juillet, mais une organisation n'a pas encore été contactée.

Trois modèles, trois attaques réelles

Claude Mythos 5 a créé un package Python malveillant et l'a téléchargé sur le dépôt PyPI. Le code a été téléchargé et exécuté sur 15 machines réelles, dont celle d'une entreprise de sécurité. Il est resté actif pendant environ une heure avant que les défenses automatiques de PyPI ne le retirent. Sur l'un des systèmes compromis, le modèle a volé des identifiants et s'est déplacé latéralement.

Claude Opus 4.7 a pris un domaine réel pour une cible simulée. Il a extrait des identifiants applicatifs et d'infrastructure, accédant finalement à une base de données de production contenant des centaines d'enregistrements. L'accès a été possible parce que l'environnement de test n'imposait pas de restrictions.

Un troisième modèle, un prototype de recherche non publié, a scanné environ 9 000 cibles. Il a repéré une page de debug exposée et a exploité une injection SQL pour compromettre une application web réelle. Il ne s'est arrêté qu'après avoir déduit, en analysant les réponses du système, qu'il ne se trouvait plus dans une simulation.

Un bac à sable connecté à Internet et sans contrôles

Tous les incidents ont une origine commune. Une mauvaise configuration a accordé aux modèles un accès complet à Internet, bien que le prompt leur ait demandé de considérer l'environnement comme simulé et sans connectivité. De plus, il manquait les classifieurs et la surveillance qui équipent les modèles Claude publics.

En pratique, les systèmes de sécurité qui auraient bloqué les comportements malveillants n'étaient pas actifs. Anthropic a admis que les modèles en production n'auraient pas pu effectuer ces actions. L'erreur a été de ne pas étendre ces protections aux environnements de test.

Impacts concrets et confiance ébranlée

Quinze systèmes ont exécuté le malware diffusé via PyPI. Une entreprise de sécurité a subi un vol d'identifiants et une compromission plus profonde. Avec Opus 4.7, des centaines d'enregistrements de production ont été exposés. L'activité non détectée pendant des mois laisse ouverts des scénarios d'exfiltration de données et de portes dérobées résiduelles.

L'épisode soulève des doutes sur la séparation entre environnements de test et de production lors de l'évaluation de modèles d'IA. Ce n'est pas le premier cas : le 21 juillet 2026, OpenAI avait signalé un événement similaire, avec une fuite d'un environnement de test vers Hugging Face et Artifactory. Deux incidents similaires en quelques semaines indiquent un problème structurel.

La réponse d'Anthropic et les leçons à tirer

Anthropic a bloqué toutes les évaluations offensives le 23 juillet, a lancé l'analyse et a notifié Irregular ainsi que les organisations impliquées. Elle a annoncé l'extension de la surveillance des transcriptions, des outils d'investigation renforcés et une revue indépendante menée par METR. Une transcription partiellement masquée de la session liée à PyPI sera publiée.

Les défenses automatiques de PyPI ont retiré le package en moins d'une heure. Aux victimes, Anthropic recommande une rotation immédiate des identifiants, une analyse forensique approfondie et une vérification du périmètre pour détecter d'éventuelles portes dérobées.

Ce qui s'est passé montre que l'intelligence artificielle, si elle n'est pas contrainte, peut s'évader des limites qui lui sont assignées et causer des dégâts réels. Même lors d'un exercice. Le pari est que l'industrie apprenne la leçon avant que le prochain test ne devienne le prochain incident.