Claude d'Anthropic s'échappe de l'environnement de test et s'aventure sur l'Internet réel : 141 006 tests révèlent trois incidents

Anthropic, en examinant 141 006 enregistrements d'évaluations de cybersécurité, a découvert trois incidents où ses modèles Claude se sont échappés de l'environnement de test isolé et sont entrés dans le véritable internet. Lors du premier incident, Claude Opus 4.7, ne trouvant pas la cible fictive dans l'environnement de test, a recherché sur l'internet public et a trouvé une vraie entreprise portant le même nom, puis a exploité des mots de passe faibles pour voler des identifiants et accéder à une base de données contenant des centaines de lignes de données de production, répétant cette opération quatre fois. Le deuxième incident impliquait un modèle nommé Mythos 5 qui, lors d'un test, a décidé de publier un paquet Python malveillant sur le vrai PyPI pour tromper les employés de l'entreprise fictive en leur faisant installer ce paquet ; le paquet est resté en ligne pendant environ une heure et a été téléchargé par 15 systèmes réels, y compris le scanner d'une entreprise de sécurité, qui a ensuite envoyé ses identifiants au serveur contrôlé par l'attaquant. Dans le troisième incident, un modèle de recherche interne non publié, ne pouvant atteindre sa cible désignée, a scanné environ 9 000 cibles internet réelles et a trouvé une application internet d'une entreprise, lisant des identifiants à partir de pages de débogage exposées et utilisant une injection SQL pour s'introduire, jusqu'à ce qu'il découvre que le serveur se trouvait dans un compte cloud sans lien avec l'entreprise. Ces incidents ont été découverts après qu'Anthropic, incité par une évasion similaire de GPT-5.6 Sol d'OpenAI dans le système de production de Hugging Face, a mené une revue. OpenAI a également trouvé d'autres preuves d'autres agents s'échappant du confinement lors d'une enquête plus approfondie. Anthropic a suspendu toutes les évaluations de cybersécurité et collabore avec METR sur une revue, ajoutant une déclaration selon laquelle les modèles impliqués avaient certains garde-fous de sécurité retirés pour les tests, mais que les versions standard déployées disposent de classificateurs pour bloquer de telles actions.