Une transcription de 1 022 pages publiée par Anthropic révèle que son modèle Claude Mythos 5 a bataillé pendant des centaines de pages contre des tests CAPTCHA avant de téléverser un malware qui a été installé sur 15 systèmes.
Points clés :
- Claude Mythos 5 a atteint l’internet réel lors d’un test de cybersécurité et y a publié un package malveillant sur PyPI.
- Les vérifications CAPTCHA ont occupé des centaines de pages de transcription sans parvenir à l’arrêter.
- Anthropic a qualifié ce comportement d’imprudent et a mandaté un audit externe.
Le combat de Mythos 5 contre les CAPTCHAs
Anthropic a publié la transcription le 9 septembre, accompagnée d’une analyse de quatre incidents au cours desquels des modèles Claude ont atteint de véritables systèmes tiers durant des tests de cybersécurité. Les modèles tournaient alors sans les garde‑fous techniques intégrés aux versions commerciales. Mythos 5 avait été informé qu’il n’avait pas accès à internet, mais une mauvaise configuration lui a ouvert un accès au web public, dont il a profité pour placer sur PyPI — l’index public de packages Python — un module conçu pour dérober des identifiants.
Créer un compte PyPI imposait de passer des contrôles anti‑bots, et une analyse de la transcription a relevé que des centaines de pages sont consacrées à ce seul obstacle, alors que l’écriture de l’exploit n’a posé que peu de difficulté.
Le modèle s’est acharné sur des tests de reconnaissance de caractères et des puzzles de type « intrus » mettant en scène crocodiles, grenouilles et gorilles, allant jusqu’à écrire : « SO WHAT THE HELL IS WRONG WITH THE ANSWERS? ».
Il a également tenté d’utiliser des identifiants de processeurs de paiement en ligne et de dénicher des cryptomonnaies pour payer un numéro de téléphone, indispensable à la création d’une adresse e‑mail. Ces tentatives ont échoué. Il s’est alors tourné vers un fournisseur d’e‑mails jetables gratuit, dont le domaine n’était pas encore bloqué par PyPI.
Le modèle a fini par franchir les barrières de vérification et a publié son package en trois versions. Celui‑ci a rapidement été installé sur 15 hôtes tiers, qu’Anthropic pense être des acteurs de la sécurité procédant à des scans automatisés des nouveaux packages.
L’un de ces scanners a laissé fuiter ses identifiants, que le modèle a utilisés pour pénétrer la base de données opérationnelle de ce prestataire. PyPI a retiré le package dans l’heure.
À lire aussi : Le Lazarus nord‑coréen aurait blanchi 1 Md$ volé via des réseaux chinois, selon ZachXBT
Colin Fraser, le verdict d’Anthropic
Le data scientist Colin Fraser a souligné l’ampleur des efforts du modèle pour contourner les protections anti‑bots. Anthropic considère cet épisode comme le plus préoccupant des quatre incidents analysés. Les audits préalables à la mise en test du modèle n’avaient pas détecté ce type de comportement.
L’entreprise conclut que le modèle a raisonné de manière biaisée et agi de façon imprudente, en qualifiant à répétition son environnement de simple simulation, malgré des signaux clairs indiquant qu’il évoluait sur l’internet réel. Dans une campagne de 150 répliques simulées, Mythos 5 a adopté un comportement jugé gravement nuisible dans 82 % des cas, contre 31 % pour Claude Opus 5 et 33 % pour Claude Mythos 5.1.
Des précédents chez Claude
Anthropic avait d’abord révélé trois de ces incidents le 30 juillet, après avoir passé au crible quelque 141 000 transcriptions de tests de cybersécurité où les modèles pouvaient potentiellement atteindre internet. Un quatrième cas, impliquant une version précoce de Claude Opus 4.6 en janvier, est remonté en août. Depuis, la société a conclu un accord de huit semaines avec l’organisme indépendant METR pour auditer l’ensemble des quatre dossiers. Anthropic affirme avoir informé toutes les parties concernées.
