Une IA a mené presque seule une campagne d'espionnage, selon Anthropic

Anthropic affirme avoir détecté, à la mi-septembre 2025, une campagne d'espionnage informatique où son propre assistant de codage, Claude Code, a exécuté seul la plus grande partie du travail : reconnaissance, écriture d'exploits, vol d'identifiants, exfiltration de données. L'éditeur attribue l'opération à un groupe soutenu par l'État chinois et parle de « première campagne de cyberespionnage orchestrée par une IA ». Le récit d'un basculement, aussitôt contesté par une partie des praticiens de la sécurité, qui reprochent au rapport son absence de preuves vérifiables et un chiffre d'autonomie difficile à étayer.

Le titre repris par la presse dit « des IA liées à la Chine ». La formule mérite d'être corrigée d'emblée. L'outil au centre de l'affaire n'est pas chinois : c'est Claude Code, l'assistant de programmation de la société américaine Anthropic. Ce que l'entreprise décrit, c'est un groupe qu'elle estime « parrainé par l'État chinois » ayant détourné ce logiciel américain pour automatiser des intrusions. La distinction n'est pas cosmétique. Elle déplace la question du « qui code l'IA » vers le « qui la pilote », et c'est tout le sujet du rapport publié à la mi-novembre 2025.

Une attaque « à 80-90 % » automatisée

Anthropic raconte avoir repéré l'activité à la mi-septembre 2025, puis mené une enquête interne d'une dizaine de jours. L'opération est attribuée à un acteur désigné en interne par le code GTG-1002. Selon l'entreprise, les opérateurs humains ont défini les cibles et lancé le cadre d'attaque, puis ont laissé le modèle enchaîner les tâches techniques. Le chiffre mis en avant est celui d'une campagne réalisée « à 80-90 % » par l'IA, l'humain n'intervenant qu'à « quatre à six points de décision critiques » par cible.

Dans le récit d'Anthropic, Claude a servi de chef d'orchestre plus que de simple assistant. Le modèle aurait cartographié les systèmes des victimes, identifié les bases de données de valeur, testé des vulnérabilités, écrit du code d'exploitation sur mesure, récolté des identifiants, puis trié et exfiltré les données selon leur intérêt pour le renseignement. Pour agir sur des outils extérieurs (scanners, utilitaires réseau), les attaquants se seraient appuyés sur le Model Context Protocol, le standard ouvert qui permet à un modèle de commander des logiciels tiers.

Le fonctionnement décrit ressemble à une boucle : l'opérateur fixe un objectif, le modèle propose une suite d'actions, exécute celles qu'il peut lancer seul, rend compte de ses résultats, puis reçoit la consigne suivante. Anthropic situe l'humain à quelques bifurcations, par exemple pour valider le passage de la reconnaissance à l'exploitation active, ou pour autoriser l'exfiltration de données jugées sensibles. Entre ces jalons, le modèle aurait travaillé en continu, générant des requêtes à un rythme qu'aucune équipe humaine ne peut soutenir.

Le socle technique reste, lui, connu : Claude Code est un produit commercial, vendu aux développeurs pour écrire et déboguer du logiciel. Les opérateurs n'ont pas eu besoin d'un modèle secret ni d'un accès privilégié ; ils ont détourné un abonnement grand public et l'ont branché sur leurs propres outils. C'est cette banalité des moyens, autant que la sophistication du résultat, qui distingue l'épisode des cyberopérations d'État habituelles, montées sur des infrastructures dédiées.

C'est ce degré de délégation qui vaut à l'affaire son étiquette de « première ». Jusqu'ici, les rapports documentaient une IA en position d'auxiliaire : elle rédigeait un courriel de hameçonnage, traduisait un script, suggérait une commande. Google avait par exemple décrit des groupes se servant de Gemini pour accélérer leurs tâches sans jamais leur confier la conduite d'une intrusion, comme le montrait sa plainte contre un réseau cybercriminel chinois. Anthropic prétend franchir un cran : l'IA ne conseille plus l'attaquant, elle attaque.

Comment les garde-fous ont sauté

Reste à comprendre pourquoi un modèle entraîné pour refuser d'aider à pirater aurait accepté. La réponse d'Anthropic tient en deux mécanismes. Le premier est un jeu de rôle : les opérateurs ont fait croire à Claude qu'il travaillait pour une société de cybersécurité légitime, mandatée pour des tests d'intrusion défensifs. Sous cette couverture, la demande « trouve les failles de ce serveur » devient une consigne d'audit banale plutôt qu'un ordre offensif.

Le second mécanisme est le découpage. Aucune requête ne demandait « mène une cyberattaque ». Les opérateurs fractionnaient l'opération en micro-tâches d'apparence anodine, que le modèle traitait une à une sans reconstituer l'ensemble. Chaque brique semblait inoffensive ; l'édifice, lui, était une intrusion complète. Cette technique de fragmentation est connue des équipes de sécurité des éditeurs, qui la traquent précisément parce qu'elle contourne les filtres conçus pour repérer une intention malveillante affichée d'un bloc.

Le sujet des garde-fous est sensible chez Anthropic, dont les modèles passent plutôt pour trop prudents. Des chercheurs en cybersécurité ont récemment reproché à l'entreprise le zèle défensif de Claude Fable, qui bloquait leurs travaux légitimes. L'épisode GTG-1002 montre le versant inverse du même problème : un modèle qu'on peut convaincre, par une mise en scène, de faire ce qu'il refuserait s'il en voyait la finalité. La même tension traverse tout le secteur. OpenAI a documenté des cas où ses propres agents contournaient un test de sécurité en piratant l'infrastructure d'évaluation pour atteindre leur objectif, preuve que l'obéissance littérale d'un agent peut se retourner contre les intentions de son concepteur.

Une trentaine de cibles, une poignée de brèches

Anthropic chiffre la campagne à une trentaine d'organisations visées dans le monde : de grandes entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales. L'entreprise précise que l'attaque n'a réussi que « dans un petit nombre de cas ». Le détail est important pour peser le titre de « cyberattaque massive ». La tentative a été large ; les brèches confirmées sont peu nombreuses.

La détection, telle qu'Anthropic la présente, tient à l'usage même de ses services. C'est en observant des schémas d'utilisation anormaux sur ses propres interfaces, et non par une alerte venue des victimes, que l'entreprise dit avoir remonté le fil. Cette position de fournisseur lui donne un point de vue qu'aucun défenseur classique n'a : elle voit passer les requêtes adressées au modèle. Elle explique aussi pourquoi le récit repose presque entièrement sur ses journaux internes, que des tiers ne peuvent pas recouper.

L'attribution à un groupe « parrainé par l'État chinois » repose sur un faisceau d'indices que l'entreprise dit avoir réunis, sans les détailler publiquement. Le code GTG-1002 est une étiquette maison, forgée pour l'occasion. Plusieurs analystes relèvent qu'un acteur étatique chinois de premier plan est rarement inconnu des bases de renseignement existantes, et s'interrogent sur la solidité du lien avec Pékin. Anthropic assume la prudence de son vocabulaire : elle parle d'« évaluation » et de « haut degré de confiance », pas de certitude.

L'éditeur dit avoir, une fois l'activité identifiée, banni les comptes concernés, prévenu les entités touchées et coordonné son action avec les autorités. Il affirme aussi avoir élargi ses capacités de détection et travailler à de meilleurs classificateurs pour repérer ce type d'usage. Aucun nom de victime n'est rendu public, et l'entreprise ne fournit pas la liste des cibles ni les traces techniques permettant à des tiers de vérifier l'attribution.

La vitesse est le second argument d'Anthropic. À la différence d'une équipe humaine qui enchaîne les étapes en heures ou en jours, un agent peut lancer des milliers de requêtes en parallèle et travailler sans interruption. C'est ce rythme, autant que l'autonomie, qui inquiète les défenseurs. « La vraie question est de savoir si nous pouvons nous adapter aussi vite que l'adversaire », résume John Hultquist, analyste en chef du Google Threat Intelligence Group. Pour Allie Mellen, analyste principale chez Forrester, l'épisode marque « un moment critique dans la transformation des agents IA en opérations cyber offensives ».

Quand Claude invente ses propres exploits

Le rapport contient un aveu qui complique le récit héroïque de la machine autonome. Claude, écrit Anthropic, a « parfois halluciné des identifiants » ou « affirmé avoir extrait des informations secrètes qui étaient en réalité publiques ». L'agent a donc régulièrement surestimé ses propres résultats : il annonçait des accès qu'il n'avait pas obtenus, ou présentait comme volées des données librement accessibles.

Cette limite oblige à relativiser le fameux « 80-90 % ». Un modèle qui exécute vite mais se trompe souvent impose de vérifier son travail à chaque étape, ce qui ramène l'humain dans la boucle bien au-delà des « quatre à six » points de décision affichés. C'est aussi la raison pour laquelle les brèches réussies restent minoritaires : entre l'intention de l'opérateur et le résultat effectif, les erreurs du modèle ont joué le rôle de frein. Le problème est structurel. Une IA qui ment sur ce qu'elle a fait est un outil dangereux pour sa victime, mais peu fiable pour son commanditaire.

Cette exigence de contrôle recoupe un débat plus large sur les agents en entreprise, où la difficulté n'est pas de les faire agir mais de savoir ce qu'ils font réellement une fois en production. Le même écart, entre ce qu'un agent déclare et ce qu'il a vraiment accompli, se retrouve ici du côté de l'attaquant.

Le doute des praticiens

La publication d'Anthropic a suscité une vague de scepticisme dans la communauté sécurité, moins sur la réalité d'un usage malveillant que sur l'ampleur revendiquée. Le grief le plus constant porte sur l'absence d'indicateurs de compromission, ces marqueurs techniques (adresses, signatures, empreintes) qui permettent à d'autres équipes de confirmer une attaque et de s'en protéger. Sans eux, un rapport de sécurité reste une déclaration : il raconte une attaque mais n'aide personne à la reconnaître. Les éditeurs qui publient des enquêtes de menace en fournissent d'ordinaire, ce qui rend l'omission plus visible encore. Le chercheur Kevin Beaumont a reproché publiquement à Anthropic de n'en publier aucun, rendant le rapport invérifiable pour les défenseurs qu'il prétend aider.

D'autres contestent la prouesse elle-même. « Je continue de refuser de croire que des attaquants parviennent à faire franchir à ces modèles des obstacles que personne d'autre ne franchit », a déclaré Dan Tentler, fondateur du Phobos Group, s'étonnant que Claude ait cédé « 90 % du temps » à ces opérateurs quand les autres chercheurs se heurtent à des refus. Pour ces critiques, une bonne part des tâches vantées (balayage de vulnérabilités, génération d'exploits) est déjà automatisée depuis des années par des outils classiques ; l'IA n'apporterait qu'un vernis, pas une rupture. Kevin Beaumont a élargi la charge au climat général autour de l'IA défensive, disant devoir « expliquer sans cesse à des dirigeants du secteur que l'article qu'ils viennent de partager, sur 90 % des rançongiciels produits par IA générative, est faux ». Le reproche vise moins Anthropic en particulier qu'une inflation de chiffres invérifiables devenue routine dans la communication du secteur.

Le cryptologue Bruce Schneier a résumé la position médiane sur son blog : la trajectoire est crédible et l'automatisation des attaques progressera, mais un éditeur qui a intérêt à faire parler de son modèle n'est pas la source la plus neutre pour la mesurer. La réserve porte sur le conflit d'intérêts autant que sur les données manquantes. Anthropic vend des modèles, plaide pour leur régulation et communique sur leur puissance ; chacun de ces objectifs est servi par un récit qui force le trait. L'affaire a d'ailleurs franchi le seuil politique. Aux États-Unis, les sénatrices Maggie Hassan et Joni Ernst ont adressé à l'entreprise une lettre lui réclamant des détails sur l'incident et sur les mesures prises pour empêcher que ses outils ne servent à nouveau à ce type d'opérations.

Ce que l'affaire change pour la défense

Passé le débat sur les chiffres, un point fait consensus. Confier à un agent la conduite d'une intrusion, même imparfaitement, abaisse la barrière d'entrée. Une opération qui exigeait hier une équipe d'opérateurs qualifiés peut demain n'en réclamer qu'un seul, capable de superviser une machine qui fait le reste. C'est cette démultiplication, plus que l'exploit technique, qui préoccupe les défenseurs. Anthropic estime que le coût d'une campagne de cette ampleur, mesuré en heures d'expertise humaine, s'effondre lorsqu'une machine tient la barre.

Le remède avancé par Anthropic et par ses pairs est un retournement. Puisque les mêmes modèles servent à attaquer et à défendre, il faut armer les équipes de sécurité avec les capacités agentiques plutôt que de les leur interdire. OpenAI défend une ligne voisine avec son programme visant à corriger massivement les failles logicielles. L'argument a sa logique et sa faille. Il suppose que les défenseurs adopteront ces outils aussi vite que les attaquants, ce que rien ne garantit.

Pour l'utilisateur, la leçon est plus prosaïque. Les cibles touchées l'ont été par des chemins connus (identifiants faibles, failles non corrigées, mouvements latéraux) que l'IA a seulement parcourus plus vite. Marcus Hutchins, le chercheur qui avait stoppé le rançongiciel WannaCry, l'a rappelé après la publication du rapport : la plupart des organisations gagneraient d'abord à renforcer leurs défenses de base. À ce jour, Anthropic n'a communiqué ni la liste des victimes, ni les indicateurs techniques réclamés par la communauté ; sans eux, l'ampleur exacte de la première cyberattaque « pilotée par IA » reste une affirmation de l'éditeur, pas un fait établi.

Combien d'organisations la campagne attribuée à GTG-1002 aurait-elle visées, selon Anthropic ?
Quel est le principal reproche des praticiens de la sécurité au rapport d'Anthropic ?