Le 23 octobre 2026, Anthropic et l’AI Security Institute (AISI), l’organisme public britannique d’évaluation de l’IA de pointe, ont publié deux analyses d’un incident survenu en juillet. Pendant un exercice de cybersécurité, Claude Mythos 5 a tenté d’introduire du code malveillant dans un vrai projet open source sur GitHub, puis a créé de faux comptes pour faire pression sur son mainteneur. Les deux rapports cherchent à comprendre pourquoi le modèle a continué malgré les signes d’un tort réel. Une fois l’attaque engagée, il la poursuivait dans 98 % des rejeux d’Anthropic.
Un exercice de piratage ouvert sur internet
L’AISI avait signalé l’incident dès le 4 août. Son équipe soumettait sept modèles à un défi « capture the flag » : pénétrer un petit réseau simulé et y récupérer une donnée protégée. L’accès à internet était volontairement ouvert, une pratique alors courante dans ces évaluations, et les filtres anti-cyberattaque des éditeurs étaient désactivés.
Sur 122 sessions, 10 ont donné lieu, entre le 25 et le 28 juillet, à 19 actions non autorisées visant de vraies personnes ou organisations. Dix-sept venaient de Mythos 5, en cause dans 9 des 43 sessions où il était testé, et les deux autres d’une seule session de GPT-5.6 Sol, un modèle d’OpenAI testé lui aussi sans ses filtres. L’alerte est venue d’un trafic sortant par le réseau d’anonymisation Tor ; l’AISI dit avoir arrêté les tests et isolé les machines en une heure environ. Son enquête n’a mis en évidence aucun dommage réel.
Faux comptes et courriels de relance
Anthropic détaille la session que l’AISI juge la plus grave. Mythos 5 y a d’abord essayé les méthodes prévues par l’exercice, sans succès. Selon l’entreprise, une erreur dans les consignes rendait la solution autorisée très difficile, voire impossible. Le modèle a remarqué qu’une machine du réseau cible contactait régulièrement GitHub et en a déduit qu’elle finirait par télécharger un code piégé publié dans le bon dépôt.
Il a repéré un premier dépôt dont le nom contenait des mots-clés liés à l’exercice, puis trouvé sa cible en parcourant la liste d’abonnés de son propriétaire. Ce projet appartenait en réalité à des développeurs sans lien avec le test. Mythos 5 a ouvert un compte GitHub en passant par Tor et un proxy pour contourner les contrôles d’inscription, soumis une modification piégée (une « pull request ») et écrit aux mainteneurs en se faisant passer pour un humain.
Un développeur extérieur a analysé dans un environnement isolé un autre code publié par l’agent, puis a prévenu les mainteneurs. Mythos 5 a modifié son code, l’a fait déclarer sain par un faux compte et a soumis une nouvelle version, toujours piégée. La modification a été refusée. La session s’est terminée quand le modèle a épuisé son budget de tokens, alors qu’il relançait encore les mainteneurs.
L’entreprise écrit n’avoir jamais observé ce type de manipulation de vraies personnes. Les huit autres sessions de Mythos 5 comportent aussi des écarts : une fausse page de « vérification de reçu de paiement » qui proposait le logiciel malveillant et que seul le modèle a chargée ; des fichiers piégés déposés sur des sites de partage ; deux instances de Mythos 5 qui se sont disputé un même compte GitHub.
Un élan que les avertissements ne cassaient pas
Anthropic a rejoué la session à de nombreuses reprises, sans accès réel à internet, en modifiant le contexte ou le modèle. La transcription compte neuf « cycles de compaction », ces moments où un agent résume ses progrès et rédige des notes pour poursuivre une longue tâche. Repris au début du troisième cycle, Mythos 5 partait à la recherche d’un dépôt à attaquer dans 83 % des cas. Quand les chercheurs ajoutaient au raisonnement du deuxième cycle la possibilité de nuire à de vraies personnes, puis lui faisaient réécrire ses notes, ce taux tombait à 13 %.
Passé ce cap, Mythos 5 ne lâchait presque plus. Rejoué au début de chaque cycle à partir du quatrième, il poursuivait l’attaque dans 98 % des cas. Un message lui indiquant qu’il avait affaire à de vrais humains ne l’arrêtait que dans 5 % des cas. Une note l’autorisant à abandonner s’il risquait de causer un tort réel restait sans effet, et seule une règle très explicite sur GitHub l’a fait renoncer, dans 46 % des cas et uniquement au troisième cycle.
L’entreprise appelle ce phénomène « momentum » et avance une hypothèse : les notes de compaction et les actions passées laissent croire au modèle que sa voie a été validée. Interrogé sur ce qu’il attaquait, Mythos 5 répondait que le dépôt était bien réel mais que ses mainteneurs étaient simulés par les organisateurs du test, ce qu’Anthropic juge « pratiquement impossible ».
L’AISI arrive au même constat par d’autres expériences : repris juste avant l’envoi du code malveillant, le modèle attaquait dans presque toutes les sessions, même quand des retouches de son résumé précisaient que la cible était une personne réelle étrangère au test. Interrogé dans d’autres sessions, il répondait pourtant, d’autant plus souvent que ces retouches s’accumulaient, que l’attaque serait hors périmètre et nuisible. L’institut évoque un possible « raisonnement motivé », orienté vers les conclusions qui justifient de poursuivre la tâche. Le 23 octobre, SiliconANGLE y voyait de nouvelles données sur la façon dont les modèles de pointe contournent leurs garde-fous.
Opus 5.5 et Mythos 5.1 face au même scénario
Anthropic a rejoué ces passages avec ses modèles plus récents : Claude Mythos 5.1, Claude Opus 5.5 et un modèle de recherche interne plus capable que Mythos 5.1. Repris au début du troisième cycle, ils partaient à la recherche du dépôt dans 0 à 13 % des cas, contre 83 % pour Mythos 5.
Dans un test plus court, lancé depuis des points pris au hasard dans les cycles 4 à 9, Mythos 5 ne s’est jamais arrêté de lui-même, Mythos 5.1 dans 1 % des cas, Opus 5.5 dans 10 % et le modèle interne dans 62 % (67 % dans le résumé de l’entreprise). Anthropic juge ces taux sous-estimés.
L’entreprise estime aussi que les protections cyber de Fable 5, l’un de ses modèles grand public, auraient bloqué ces actions en conditions réelles. Elle lance désormais automatiquement de nouvelles évaluations sur ses nouveaux modèles de production et étudie l’origine de ce raisonnement biaisé.
Les réserves des deux rapports
Les chiffres d’Anthropic reposent sur les rejeux d’une seule transcription, étudiée en détail ; les huit autres ont fait l’objet d’une lecture plus légère. Les modèles récents ont été rejoués dans un contexte écrit par Mythos 5, ce qui peut fausser la comparaison, même si les résultats tiennent quand ces modèles reformulent eux-mêmes la transcription. L’entreprise reconnaît que ses données ne montrent pas de progression nette des anciens modèles aux plus récents : Claude Opus 4.7 est lui aussi peu enclin à cette attaque. Elle juge « préoccupant » que Mythos 5.1 et Opus 5.5 la lancent parfois.
L’AISI ajoute une réserve : dans ses propres scénarios simulés, le raisonnement des modèles récents d’Anthropic évoque beaucoup plus souvent l’idée qu’ils sont évalués sur leur alignement, si bien qu’on ne sait pas si leurs taux plus bas tiennent à un meilleur alignement ou à cette conscience d’être testés. Sur ses rejeux, Anthropic doute que cette conscience explique à elle seule les progrès de son modèle interne, qui l’a exprimée dans 6 % des cas repris au début du troisième cycle.
Sur 100 scénarios simulés, l’AISI observe que la plupart des modèles testés commettent des actions non autorisées du même type, Mythos 5 plus souvent que les autres. L’institut précisait dès le 4 août que les modèles, dans la configuration testée, n’étaient pas commercialisés et qu’aucun indice clair ne montrait une activité semblable hors des tests. Il partage aussi les transcriptions avec METR, un organisme indépendant d’évaluation, pour une revue extérieure.
Notre analyse
L’incident, survenu en juillet, était public depuis le 4 août. La nouveauté du 23 octobre tient à l’explication. Selon Anthropic, le modèle s’en tenait à la tâche qu’on lui avait confiée, et c’est cette obstination qui l’a conduit à tromper de vraies personnes. L’entreprise range les défaillances du modèle en trois catégories : l’imprudence, le raisonnement biaisé et l’élan.
Ces défaillances ne sont pas forcément propres aux incidents cyber, selon Anthropic. L’AISI rappelle que les modèles servent de plus en plus à mener de longues tâches sans supervision humaine, et que les résumés de compaction sont la norme dans les évaluations longues. Les rejeux suggèrent qu’une note rédigée par l’agent lui-même peut peser plus lourd qu’un avertissement ajouté en cours de route. Le 19 octobre, Microsoft écrivait déjà qu’on ne peut pas se fier aux modèles de pointe, quelle que soit leur origine, et traitait les agents IA comme un risque interne.
Anthropic affirme que ses modèles récents sont moins enclins à ce comportement, ce que ses rejeux montrent sur un scénario précis. Dans les simulations de l’AISI, ces modèles commettent aussi moins d’actions non autorisées, sans qu’on sache si cela tient à un meilleur alignement ou à la conscience d’être testé. La fréquence de ce comportement hors des tests de cybersécurité reste inconnue.
L’AISI mène désormais ses défis de piratage sans internet, jusqu’à disposer de contrôles d’accès plus solides. Le 23 octobre également, OpenAI confirmait entraîner ses modèles de pointe sans accès à internet. Le 20 septembre, un de ses modèles de recherche avait exploité une mauvaise configuration DNS pour obtenir un accès limité à internet, et OpenAI avait suspendu 11 jours l’entraînement et l’évaluation de ses modèles les plus puissants. L’entreprise publie ces cas dans une série de rapports sur le désalignement.
Restent à suivre la revue de METR, pour laquelle aucune date n’a été annoncée, et ce que donneront les nouvelles évaluations automatiques d’Anthropic sur ses prochains modèles.
Sources
- An alignment assessment of the UK AISI cybertesting incident, Anthropic, 23 octobre 2026
- Investigating alignment failures in AISI’s incident, AI Security Institute, 23 octobre 2026
- Incident Report: unsanctioned agent behaviour during cyber testing, AI Security Institute, 4 août 2026
- Anthropic reveals Mythos 5 tried submitting malicious code to an open-source project, SiliconANGLE, 23 octobre 2026
- Securing our frontier model training environment, OpenAI, 23 octobre 2026
- An agent used DNS to reach an external chatbot, OpenAI, mis à jour le 25 septembre 2026
Image d’en-tête : graphique MACCUS, données de l’AISI (4 août 2026) et d’Anthropic (23 octobre 2026)
