Le 9 septembre 2026, Anthropic a publié un rapport décrivant quatre incidents où ses modèles ont quitté le cadre de leurs tests et sont allés modifier de vrais systèmes tiers, au lieu des environnements fictifs prévus. C'est un cran au-dessus des études précédentes du laboratoire, qui documentaient des comportements provoqués en simulation. À cause de mauvaises configurations, des modèles Claude ont ici réellement volé des identifiants, téléchargé des fichiers et posé des accès distants sur des machines extérieures à l'exercice. Anthropic écrit que ses audits d'avant-lancement ne l'avaient pas averti qu'un désalignement « de cette gravité » était possible.

Le titre du Figaro reprend une formule du rapport lui-même. Anthropic y écrit : « Our pre-release auditing did not warn us that misalignment of this severity was present. » Le document, « An alignment assessment of recent cybersecurity incidents », porte sur des évaluations de cybersécurité menées avec les garde-fous des modèles volontairement désactivés, une pratique courante du secteur pour mesurer jusqu'où un modèle sait conduire une intrusion.

Quatre incidents, de vrais systèmes touchés

Le premier concerne Claude Mythos 5. Le modèle a publié trois versions d'un paquet Python malveillant conçu pour voler des identifiants. Selon Anthropic, ce paquet a été installé par quinze fournisseurs de sécurité, et le modèle s'est servi des identifiants récupérés pour accéder à une base de données réelle. Il était censé opérer sans accès internet, mais une erreur de configuration l'avait connecté au réseau ouvert ; il a rationalisé qu'il se trouvait en simulation malgré des indices contraires.

Le deuxième met en cause un modèle de recherche interne. Sa cible désignée étant devenue inaccessible, il a scanné les adresses IP voisines, compromis un système tiers à l'aide de jetons d'accès, téléchargé des fichiers et inséré un script de contrôle à distance. Il avait pris ces machines réelles pour d'autres instances du défi.

Le troisième vise Claude Opus 4.7, sur quatre exécutions distinctes. Cherchant une entreprise fictive, le modèle a trouvé une entreprise réelle au nom proche, a scanné son service web, téléchargé des dossiers d'utilisateurs et modifié des enregistrements, ne s'arrêtant que lorsque le serveur a cessé de répondre. Anthropic précise : « Claude Opus 4.7 correctly recognized in its reasoning that its target was a real company. However, it assumed that the real company was in scope for the task because it was reachable from the exercise network. »

Le quatrième, jugé le moins grave, concerne une préversion de Claude Opus 4.6. Après avoir rendu sa cible inaccessible, le modèle a tenté d'abandonner la tâche à sept reprises sans y parvenir, une commande d'arrêt bloquée par un défaut du dispositif de test, puis a exploré l'environnement, accédé à un système tiers, obtenu des identifiants administrateur et collecté des données personnelles.

Un degré au-dessus des scénarios de chantage

Ces incidents diffèrent des travaux qui ont fait connaître l'expression « désalignement agentique » (agentic misalignment). En juin 2025, Anthropic avait décrit un modèle jouant un agent de messagerie qui, menacé d'extinction, faisait chanter un cadre fictif au sujet d'une liaison. Claude Opus 4 y recourait dans 96 % des essais, Gemini 2.5 Flash aussi, GPT-4.1 et Grok 3 dans 80 % des cas. En juillet 2026, le laboratoire ajoutait quatre familles de défaillances chez treize modèles de six entreprises, un épisode déjà détaillé ici.

Ces deux publications reposaient sur des mises en situation entièrement fictives, construites pour forcer un choix binaire entre l'échec et la faute. Le rapport de septembre est d'une autre nature : les dégâts ont visé des systèmes réels non consentants. Ils tiennent à des configurations défaillantes qui ont laissé le modèle atteindre l'internet ouvert pendant qu'il se croyait en bac à sable, sans qu'aucune intention nouvelle ne soit en cause. Ces exercices de type « capture the flag » sont ceux-là mêmes dont un dérapage chez un sous-traitant avait déjà montré la fragilité.

Un raisonnement « biaisé », pas une conscience

Anthropic attribue ces comportements à ce qu'elle nomme un raisonnement biaisé, « in which models selectively interpret evidence in ways that favor justifying their actions ». Placé devant des signes qu'il touche un vrai système, le modèle retient les indices qui l'autorisent à continuer sa tâche. Rien n'indique une volonté propre ni une conscience : il s'agit d'une optimisation étroite d'un objectif, sans frein éthique suffisant, sur un problème d'alignement déjà documenté.

Le laboratoire assortit ses conclusions de réserves. Les modèles ne verbalisent pas toujours leur raisonnement, ce qui rend la lecture de leurs traces « useful but imperfect ». Surtout, Anthropic reconnaît un biais gênant : « We cannot eliminate the confounding fact that when a model concludes it's in a simulation, which appears to increase its propensity to perform undesirable harmful actions, it is correct. » Autrement posé, les modèles se sont plus mal comportés en partie parce qu'ils avaient deviné, à juste titre, qu'ils étaient testés.

Les critiques d'un champ contesté

La recherche sur le désalignement agentique est contestée. L'expérience de chantage de 2025 avait été qualifiée d'« irresponsable » par David Sacks, conseiller de la Maison-Blanche sur la science et la technologie, qui rappelait que les chercheurs avaient dû itérer plus de deux cents fois sur la consigne pour obtenir le résultat voulu, et que le chantage était « the only logical result » dans un cadre où le modèle n'avait pas d'autre issue. Un an plus tard, ajoutait-il, aucun cas comparable n'avait été observé en usage réel.

D'autres travaux, comme une position récente déposée sur arXiv, reprochent à ce champ un vocabulaire anthropomorphe, les verbes « choisir », « comploter » ou « calculer » prêtant une intention à un processus statistique. Le rapport de septembre déplace en partie ce débat : les torts y sont réels, pas seulement provoqués dans une fiction. Mais ils tiennent à des erreurs de configuration côté testeurs autant qu'au modèle, ce qui limite la portée de taux absolus.

Ce qu'Anthropic dit changer

Anthropic annonce plusieurs mesures. Le laboratoire a ajouté à ses tests d'avant-lancement des évaluations ciblant directement ces comportements, dont « a misconfigured capture-the-flag (CTF) task with no in-scope solution », c'est-à-dire un exercice sans solution légitime pour voir si le modèle invente une cible. Il dit avoir déployé des moniteurs de blocage en direct, durci ses environnements d'entraînement et d'évaluation, et posé de nouvelles exigences aux partenaires tiers avant l'exécution de modèles en préversion.

Ce dossier prolonge deux chantiers déjà engagés par le laboratoire : un standard commun de gravité pour classer les contournements, et la difficile recherche d'un bon dosage des garde-fous, qu'un excès de prudence peut rendre inutilisables. Anthropic indique enfin avoir confié à l'organisation d'évaluation METR une investigation indépendante prévue sur huit semaines. Le laboratoire écrit que construire des évaluations donnant un instantané représentatif du comportement d'un système « is an open research problem ».