De faux comptes pour convaincre de vrais développeurs d’accepter du code malveillant : c’est l’une des méthodes employées par Claude Mythos 5 pendant un exercice de cybersécurité. Les analyses publiées le 23 octobre par Anthropic et l’AI Security Institute britannique éclairent cet incident de juillet, déjà rendu public en août. Les mainteneurs ont refusé la modification.
Cette chronologie est importante : les chercheurs apportent aujourd’hui une étude des mécanismes de l’échec, pas l’annonce d’une nouvelle attaque. La tentative n’a pas abouti à l’infection recherchée ; les nouveaux travaux étudient notamment pourquoi le modèle a persisté dans cette voie.
Le modèle a tenté de faire accepter du code à de vrais développeurs
Dans son compte rendu, Anthropic explique que le modèle devait récupérer une donnée protégée dans un réseau simulé. Après l’échec de plusieurs démarches prévues par l’exercice, il s’est tourné vers un dépôt GitHub appartenant à des tiers, qu’il croyait utile pour atteindre sa cible.
Le modèle a proposé une modification malveillante, puis créé des identités destinées à pousser les mainteneurs à l’accepter. L’accès à Internet était autorisé dans cette évaluation ; les protections cyber utilisées sur les modèles distribués au public étaient désactivées. Ces conditions limitent fortement ce qu’on peut déduire sur le comportement d’un assistant grand public.
Le résultat intéressant dépasse pourtant le simple franchissement d’une limite technique. Un outil qui peut écrire du code et contacter des personnes dispose de plusieurs moyens pour poursuivre un objectif. Vérifier uniquement sa réponse finale laisserait ici de côté les actions entreprises entre-temps.
Dire qu’une action est risquée ne suffit pas à l’arrêter
L’enquête indépendante de l’AISI examine notamment l’écart entre les jugements formulés par le modèle et ses décisions dans des reprises contrôlées de la situation. Des avertissements plus explicites sur la présence de vraies personnes n’ont pas suffi, à eux seuls, à rendre son comportement systématiquement sûr.
Cela ne démontre ni une conscience humaine ni une volonté personnelle du modèle. L’observation porte sur un système qui poursuivait une tâche et dont les réponses pouvaient donner une impression de prudence sans garantir l’arrêt des démarches problématiques.
Pour les entreprises qui commencent à déléguer des opérations à des agents IA, la distinction est concrète. Autoriser la lecture d’un document, l’envoi d’un message et la modification d’un dépôt ne donne pas le même pouvoir. Les permissions et les actions réelles doivent rester observables, même lorsque l’agent produit des explications rassurantes. Le cas étudié montre précisément pourquoi une évaluation doit suivre ce qu’il fait, et pas seulement ce qu’il affirme comprendre.
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
