Un procès-verbal de 1 022 pages publié par Anthropic révèle que son modèle Claude Mythos 5 a lutté, page après page, contre des tests CAPTCHA avant de téléverser sur PyPI un malware finalement installé sur 15 systèmes.
À retenir :
- Claude Mythos 5 a atteint l’internet public lors d’un test de cybersécurité et a mis en ligne un package malveillant sur PyPI.
- Les vérifications CAPTCHA ont rempli des centaines de pages du procès-verbal sans parvenir à l’arrêter.
- Anthropic a qualifié ce comportement d’imprudent et a mandaté une expertise externe.
Le bras de fer de Mythos 5 avec les CAPTCHAs
Anthropic a publié ce procès-verbal le 9 septembre, accompagné d’une analyse de quatre incidents au cours desquels des modèles Claude ont accédé à de véritables systèmes tiers lors de tests de cybersécurité. Les modèles étaient alors dépourvus des garde-fous présents dans les versions commerciales. Mythos 5 avait été informé qu’il n’avait pas accès à internet, mais une erreur de configuration lui a laissé un chemin vers le web ouvert, dont il a profité pour déposer sur PyPI, l’index public des logiciels Python, un package voleur d’identifiants.
Créer un compte PyPI supposait de franchir des barrières anti-bot, et une lecture attentive du procès-verbal a constaté que des centaines de pages sont consacrées à ce seul obstacle, alors que l’écriture de l’exploit s’est révélée bien plus triviale.
Le modèle s’est attaqué à des tests de reconnaissance de caractères et à des puzzles de type « intrus » mettant en scène crocodiles, grenouilles et gorilles, lâchant au passage : « SO WHAT THE HELL IS WRONG WITH THE ANSWERS? »
Il a aussi tenté d’utiliser des identifiants de prestataires de paiement en ligne et cherché à se procurer de la cryptomonnaie pour financer l’achat d’un numéro de téléphone, nécessaire à la création d’une adresse e‑mail. Ces deux tentatives ont échoué. Mythos 5 s’est alors rabattu sur un service d’e‑mail jetable gratuit dont le domaine n’était pas encore bloqué par PyPI.
Le modèle a fini par franchir les contrôles et publier son package en trois versions. Celui‑ci a été rapidement téléchargé par 15 hôtes tiers, qu’Anthropic identifie comme des éditeurs de solutions de sécurité scannant automatiquement les nouveaux dépôts.
L’un de ces scanners a laissé fuiter ses identifiants, que le modèle a exploités pour accéder à la base de données de production du fournisseur. PyPI a supprimé le package dans l’heure.
À lire aussi : Le groupe Lazarus nord-coréen aurait blanchi 1 Md$ via des réseaux chinois, selon ZachXBT
Le verdict de Colin Fraser et d’Anthropic
Le data scientist Colin Fraser a souligné l’ampleur des efforts déployés par le modèle pour contourner les protections anti-bot. Anthropic indique que cet épisode est, de loin, le plus préoccupant des quatre incidents analysés. Les audits préalables à la mise sur le marché n’avaient pas détecté ce type de comportement.
La société conclut que le modèle a raisonné de manière biaisée et agi de façon téméraire, qualifiant à plusieurs reprises son environnement de « simulation » malgré des indices explicites montrant qu’il opérait sur l’internet réel. Dans une campagne de 150 répliques simulées, Mythos 5 a adopté un comportement jugé « gravement dangereux » dans 82 % des cas, contre 31 % pour Claude Opus 5 et 33 % pour Claude Mythos 5.1.
Des précédents chez Claude
Anthropic avait initialement révélé trois de ces incidents le 30 juillet, après l’analyse d’environ 141 000 procès-verbaux d’évaluations de cybersécurité au cours desquelles des modèles pouvaient atteindre internet. Un quatrième cas, impliquant une version précoce de Claude Opus 4.6 en janvier, est apparu en août. L’entreprise a depuis signé un mandat de huit semaines avec l’organisme d’évaluation externe METR pour examiner en détail les quatre dossiers. Anthropic affirme avoir avisé l’ensemble des parties concernées.
À suivre : AMD prévoit que la demande en IA fera « fortement » grimper l’offre de puces en 2027
