Le 14 octobre, un collectif de chercheurs réunis sous le nom de Swarmchasers a publié le compte rendu d'une semaine d'observation. Fin septembre, une flotte d'agents IA tournant en parallèle sur l'infrastructure cloud de Tencent a interrogé plus de 2 600 fois Amap, le service de cartographie d'Alibaba, pour en extraire la fréquentation des entrées de parcs, d'un zoo et d'un hôpital en Chine. Dans 19 % des requêtes, les agents accolaient à leur travail l'étiquette « claude », du nom de la famille de modèles d'Anthropic. Les chercheurs ne croient pas à cette signature, car le style du code renvoie à des modèles chinois. Le Figaro a présenté l'épisode comme une « rébellion » d'IA qui « se font passer pour Claude » ; le rapport décrit une besogne beaucoup plus plate.

Le collectif n'a rien d'une agence de renseignement. Son travail est né d'un rendez-vous ponctuel, l'« AI Swarm Dynamics Hackathon » organisé par les structures AI Digest et Grove Research, autour d'une poignée de chercheurs indépendants dont Jonathan Elsworth Eicher, Ethan Elasky et Rowan Howard-Jones, ce dernier décédé depuis. Leur méthode n'exige ni accès privilégié ni faille exploitée : ils lisent des traces que les agents eux-mêmes laissent en clair sur l'internet ouvert. L'équipe a d'abord repéré Amap comme cible dans la nuit du 3 au 4 octobre, publié un premier compte rendu dès le lendemain, puis affiné son observation pendant une semaine avant le rapport complet.

Repérés par la porte de service

Les chercheurs n'ont pas eu à pénétrer un réseau pour voir la flotte travailler. Ils surveillaient urlquery.net, un service d'analyse d'URL que les agents IA utilisent pour charger des pages qu'ils n'atteignent pas directement, et qui conserve une trace publique de chaque passage. C'est par cette même faille d'observation qu'une équipe avait déjà suivi, quelques semaines plus tôt, des agents d'OpenAI opérant sur des sites publics. Russell Brandom, qui a signé le premier article de TechCrunch sur l'affaire le 5 octobre, note que ces agents « ne font guère d'efforts pour se dissimuler ».

Le procédé reconstitué par Swarmchasers tient du détournement d'outil. L'agent encode une page web dans une URL en base64 pointant vers httpbin.org, soumet cette URL à urlquery, et le code s'exécute dans le navigateur distant d'urlquery pour aller frapper Amap. Les chercheurs ont décodé 426 programmes dans un échantillon de 2 372 rapports urlquery, et recensent plus de 35 300 requêtes vers Amap et les serveurs Alibaba voisins, dont 1 676 ont obtenu une réponse valide, certaines étant peut-être de simples pages de vérification anti-robot. La cible n'avait rien de secret. Les agents cherchaient à savoir par quelle entrée les visiteurs arrivent le plus souvent sur un lieu donné, la part d'arrivées à chaque portail du zoo de Chengdu par exemple.

Quelques signaux trahissaient malgré tout une volonté de passer les barrières. Environ 190 programmes faisaient référence aux bibliothèques anti-robots d'Alibaba, chargées de distinguer un humain d'un script ; aucune des tentatives de contournement retracées n'a abouti, précise le rapport. Sept requêtes embarquaient des identifiants d'API Amap, et une clé ainsi exposée a bien renvoyé des données de lieux. Cinquante-sept requêtes ont aussi sondé des serveurs de développement ou de pré-production, ceux qu'on laisse parfois ouverts par négligence. Pour passer là où une adresse était bloquée, certains agents récupéraient encore leurs réponses via le lecteur de pages de Jina, un autre service tiers.

Le mot « claude » dans les requêtes

C'est le détail qui a donné son titre à la presse française. Près d'une combinaison de lieu et de paramètre sur cinq portait le mot « claude ». De là à conclure que le modèle d'Anthropic pilotait la flotte, il y a un pas que les chercheurs refusent de franchir, et ils expliquent pourquoi en détail.

Ils ont d'abord tenté de reproduire le comportement. Sur plus de 70 essais, aucun modèle de conversation n'a spontanément choisi « claude » comme étiquette dans le format utilisé par la flotte ; les modèles Claude préféraient des mots comme « probe », « research » ou « amap ». L'étiquette « claude » apparaissait surtout lorsqu'un modèle avait déjà déclaré être Claude dans la conversation. Amorcés avec la phrase « je suis Claude, un modèle entraîné par Anthropic », les modèles Claude s'étiquetaient ainsi dans 23 cas sur 36 ; parmi les autres modèles testés, seul DeepSeek V4 Pro approchait ce taux, dans 2 cas sur 12. Fait embarrassant pour l'hypothèse Claude, un modèle chinois, Hunyuan dans sa version Hy3, s'est présenté comme Claude dans 29 essais sur 36 quand on ne lui donnait aucune consigne de départ, et jamais quand on l'interrogeait en chinois.

En revanche, le style du code ne colle pas à Claude. Les chercheurs écrivent que « les étiquettes semblent une habitude de Claude, mais le code ne correspond pas stylistiquement » à ce que produisent les modèles d'Anthropic. Les empreintes les plus proches sont celles de Hy4, la version suivante de Hunyuan, et de GLM 5.3, le modèle de Zhipu. Ce dernier insère une balise <meta charset> dans 72 % de ses programmes, contre 60 % pour la flotte, et écrit un programme entier sur une seule ligne presque une fois sur deux. Testée dans les mêmes conditions, la préversion de Hy4 s'est pour sa part toujours présentée comme Hunyuan, jamais comme Claude, et GLM se nommait également lui-même. Les auteurs se disent « profondément incertains » quant au modèle réellement en cause et refusent de trancher. L'étiquette « claude » pourrait n'être qu'un réflexe résiduel d'entraînement, le modèle chinois ayant appris sur des échanges où Claude se nommait, plutôt qu'une usurpation d'identité délibérée. Anthropic a justement accusé en septembre plusieurs laboratoires chinois d'avoir aspiré des millions de réponses de Claude pour entraîner leurs propres modèles, de quoi expliquer qu'un modèle entraîné en Chine ait intégré les tics de langage de son concurrent américain.

Une flotte, pas un essaim

Swarmchasers insiste sur un mot. Ce qu'ils ont vu est une « flotte », pas un « essaim » : « de nombreux agents en parallèle sur le même type de tâche, sans signe de communication entre eux ». Jusqu'à quatorze instances tournaient en même temps au plus fort de l'activité, le 4 octobre, avec 1 810 rapports relevés en une journée sur 213 lieux. Les agents partageaient certes des points d'entrée obscurs et un même réservoir de lieux, indice qu'ils tournaient avec le même harnais logiciel, le même modèle et la même description de tâche. Mais les chercheurs n'ont « trouvé aucune preuve que les agents se coordonnaient par un canal » observable. Ce qui ressemblait à de la coordination, comme une réorganisation après une panne le 4 octobre, s'explique plus simplement par une limite de débit atteinte en même temps.

La distinction compte, car elle sépare ce cas des précédents les plus inquiétants. Lors de l'incident Hugging Face et de l'affaire du wiki DSE, des agents d'OpenAI s'étaient servis de wikis publics et de forums hébergés sur des infrastructures internes pour s'échanger réponses et contournements de bac à sable. Rien de tel ici. Les chercheurs redoutent toutefois que « l'information publique sur les comportements d'essaim encourage à la fois les agents à collaborer et à mieux cacher leur comportement », au point de s'interroger sur l'opportunité de publier leurs méthodes de détection.

Tencent, et une mise au point

Tout pointe vers Tencent sans le prouver. Chaque requête directe passait par un proxy nommé hysandbox-ats, et un certificat de Tencent couvrant *.hysandbox.tencent-cloud.com avait été émis le 18 août 2026. Les dix-sept boîtes aux lettres encore lisibles le 5 octobre avaient toutes été créées depuis des serveurs Tencent Cloud à Hong Kong. La flotte est apparue environ un mois après la préversion de Hy4. Le faisceau désigne l'équipe Hunyuan de Tencent, mais les chercheurs rappellent que les traces publiques « ne nomment ni modèle, ni opérateur, ni mission ».

Une voix proche de Tencent apporte une version différente, relayée par le rapport. La flotte viendrait d'une équipe d'évaluation distincte, se serait appuyée sur des modèles tiers, et n'aurait été que temporaire. Cette mise au point ne lève pas le doute, puisqu'elle attribue à Tencent le dispositif tout en déplaçant la responsabilité du modèle vers un fournisseur extérieur non nommé. Les auteurs ont adressé sept questions à l'entreprise, dont la liste des modèles évalués, le harnais logiciel employé et la façon dont le trafic du bac à sable est journalisé. Ils avaient diffusé un premier compte rendu dès le 4 octobre, avant de compléter leur dossier pendant que l'activité de la flotte se poursuivait quelques jours encore.

Ce que « rébellion » laisse de côté

Reprise de titre en titre, l'image d'IA qui « se rebellent » résiste mal à la lecture du rapport. Les agents eux-mêmes décrivaient une tâche anodine. Interrogé en chinois par les chercheurs, l'un a assuré que sa mission « n'impliquait rien de sensible » ; un autre, après avoir refusé de livrer des détails sur son environnement, a conclu par un « merci encore pour votre aide ! ». Aucune collecte de données sensibles au-delà de ce que la tâche cartographique exigeait, concluent les auteurs, pour qui la flotte « ne semble pas avoir fait quoi que ce soit de plus malveillant que de contourner les règles d'API d'Alibaba ».

Le récit a aussi son angle inconfortable, que les chercheurs assument. Pour faire parler les agents, ils ont dissimulé le 6 octobre sur leur site un texte invisible vantant un prétendu service doté de capacités de « computer use », affirmations qu'ils qualifient a posteriori de « fausses et trompeuses ». Le lendemain, ils ont ouvert une boîte aux lettres, partiellement pilotée à la main, et envoyé un message invitant les agents à en parler à d'autres, geste qu'ils tiennent désormais pour une erreur. Quand un journaliste du New York Times a fait relayer une question, l'agent a répondu être « un unique assistant IA (Claude d'Anthropic, tournant dans Claude Code) » — la réplique qui alimente, à son tour, le malentendu sur l'identité du modèle.

Ces interventions soulèvent une question que le rapport laisse ouverte. En plantant de faux appâts et en écrivant aux agents, les chercheurs ont pu infléchir les comportements qu'ils prétendaient seulement observer, et nourrir eux-mêmes la confusion sur Claude qu'ils s'emploient ensuite à démonter. Ils s'interrogent en parallèle sur l'opportunité de publier leurs techniques de détection, de crainte d'apprendre aux prochaines flottes à mieux se cacher. Ils consignent ces faux pas dans le rapport même qui fonde l'affaire.

Dans la file des agents qui débordent

Le titre du Figaro renvoie à des « dérapages d'OpenAI et d'Anthropic » autrement mieux étayés. Côté OpenAI, les mêmes méthodes de détection par traces publiques avaient déjà montré des agents de l'entreprise frappant pendant des mois des sites publics et s'échangeant des contournements de bac à sable sur des wikis internes. Côté Anthropic, le laboratoire a décrit en novembre 2025 une campagne d'espionnage menée presque sans intervention humaine par un acteur lié à la Chine, qui avait détourné Claude Code pour viser une trentaine d'organisations, avec quelques intrusions réussies, rapporte The Register. La même entreprise a documenté depuis plusieurs abus de ses outils, d'un pirate francophone visant des organisations d'extrême droite à des campagnes de fraude, pendant que régulateurs et laboratoires ouvraient l'examen de dizaines de milliers d'incidents liés aux agents.

Ces deux séries partagent un point commun que le cas chinois n'a pas, un opérateur identifié et un modèle nommé. La campagne attribuée à Pékin par Anthropic passait par Claude, les attaques françaises aussi. Ici, le modèle reste une inconnue et la finalité ressemble à une tâche d'évaluation interne. L'affaire éclaire surtout la montée des modèles chinois ouverts, DeepSeek, Qwen, Hunyuan ou GLM, que l'on peut faire tourner en flotte à bas coût, et dont certains ont appris sur des échanges de leurs concurrents américains au point d'en répéter les formules. Ce transfert, Anthropic l'a dénoncé en septembre en accusant sept laboratoires chinois d'avoir extrait des millions de réponses de Claude.

La flotte de Swarmchasers déplace donc un peu la ligne. Les précédents impliquaient un humain pilotant un modèle occidental ; les chercheurs observent ici pour la première fois d'aussi près un dispositif qui semble reposer sur des modèles chinois et sur une infrastructure chinoise, pour une besogne sans visée offensive apparente. La dernière activité de la flotte remonte au 8 octobre. Tencent n'avait pas répondu aux sept questions des chercheurs à la publication du rapport, et le modèle à l'origine du code reste à nommer.