Huit mois de données sur la manière dont des pirates informatiques, des groupes d'espionnage et des laboratoires d'IA concurrents ont tenté d'exploiter l'intelligence artificielle d'Anthropic à des fins allant du vol d'identifiants au guidage de missiles. C'est ce qui ressort du nouveau rapport sur L'IA menace Claude d'Anthropicune analyse qui couvre la période décembre 2025-août 2026 et qui fournit probablement le tableau le plus détaillé jamais publié sur les abus d’un modèle linguistique frontière. Le document ne parle pas de cas génériques de malware ou de phishing, mais d’opérations sophistiquées dans lesquelles l’IA a remplacé des équipes entières d’ingénieurs, d’analystes et de programmeurs.
Points clés
- Le rapport d'Anthropic couvre la période décembre 2025-août 2026 et classe les abus en sept catégories, notamment les cyberopérations, la surveillance, les armes conventionnelles et la distillation non autorisée.
- Les modèles les plus concernés sont Haïku, Sonnet et Opus; les plus récents Fable et Mythe n'apparaîtraient que dans un seul cas de distillation.
- Un groupe d'espionnage russophone, identifié comme GTG-20006a utilisé les boucles de rétroaction de l’IA pour réécrire les logiciels malveillants jusqu’à ce qu’ils passent inaperçus auprès des logiciels antivirus.
- Sept laboratoires chinois, dont Alibaba, Moonshot AI et DeepSeek, ont acheminé des millions de demandes via Claude pour entraîner leurs modèles sans autorisation.
- Claude a été utilisé pour un logiciel de guidage de missiles au Yémen et pour une plateforme de surveillance au Mali qui surveille environ 25 millions de cartes SIM.
Portée et modèles impliqués dans les menaces d'IA de Claude
Le rapport divise les abus en sept grandes catégories : cyberopérations, opérations d'influence, surveillance, escroqueries et fraudes, utilisation abusive de produits biologiques, développement d'armes conventionnelles et distillation de modèles non autorisée. Anthropic précise vouloir documenter des cas nouveau plutôt que le répertoire habituel d’abus déjà connu du secteur.
Les modèles les plus impliqués restent Haïku, Sonnet et Opusla génération précédente par rapport aux plus récents Fable et Mythos, qui selon la société ne seraient apparus que dans un seul épisode, lié précisément à une tentative de distillation. Les données suggèrent que les protections introduites avec les nouvelles versions réduisent efficacement la surface d'attaque, même si la majeure partie du trafic illicite documenté concerne toujours les modèles déjà largement utilisés par les utilisateurs en entreprise.
Cyber-espionnage et malware qui se réécrivent
Le chapitre sur la cybersécurité explique comment les attaques sophistiquées ne nécessitent plus nécessairement des attaquants tout aussi sophistiqués, ce qui fait de la sophistication technique un indicateur d'attribution peu fiable. Les techniques de base restent les mêmes – identifiants volés, appareils obsolètes, injection SQL, phishing – mais l’économie de l’attaque change : la reconnaissance, les exploits et la construction d’outils sont désormais délégués à des modèles d’IA travaillant en parallèle à la vitesse d’une machine.
Le cas le plus inquiétant concerne un acteur espion russophone qu'Anthropic classe comme GTG-20006. Le groupe a construit une boucle de rétroaction dans laquelle les agents d'IA vérifiaient en permanence si le malware utilisé était détecté par les antivirus les plus courants : lorsque cela se produisait, les mêmes agents réécrivaient et recompilaient le code jusqu'à ce qu'il réussisse à nouveau les vérifications. Plus de vingt organisations ont été touchées, parmi lesquelles des ministères, des services de renseignement, des ambassades et des sous-traitants de la défense, en mettant l'accent sur l'Ukraine et l'Europe. Parmi les cibles récurrentes figure la supply chain des drones : des attaquants ont volé l’intégralité d’un SDK propriétaire pour un système de vision destiné à un drone.
Extraction de titres de compétences industriels par ShinyHunters
Une autre tendance, attribuée au collectif Chasseurs brillants (GTG-50014), implique ce que l'on appelle le « vibe hacking » : un opérateur fixe un objectif générique et laisse le modèle analyser l'environnement et itérer jusqu'à ce que la tâche soit terminée. Dans ce cas, l’objectif était d’extraire des identifiants à l’échelle industrielle, avec un seul pirate informatique effectuant le téléchargement. 1,8 million d'applications Androidles a décompilés et a recherché les secrets codés dans le code. Selon le rapport, l'un des pirates a collecté des primes sur HackerOne tout en extorquant simultanément de l'argent à au moins deux entreprises.
La distillation non autorisée des laboratoires chinois
Anthropic a identifié des attaques provenant de sept laboratoires chinois supplémentaires depuis le premier rapport publié en février. La distillation en tant que méthode de formation est légitime, mais elle devient problématique lorsqu'elle prend la forme de campagnes industrielles et secrètes qui extraient les capacités d'un modèle sans autorisation, souvent via des réseaux de faux comptes alimentés par des cartes de crédit et des clés API volées, acheminés via ce que le rapport appelle des « stations de passage ».
Alibaba, Moonshot et DeepSeek : qui a fait quoi
La plus grande campagne jamais mesurée par Anthropic est attribuée au laboratoire Qwen de Alibaba (GTG-16005) : Une invite fixe a amené Claude à écrire ses propres étapes de raisonnement avant de répondre, les transcriptions étant ensuite transformées en données d'entraînement pour les modèles Qwen 3.5, 3.6 et 3.7. Le pic est presque atteint trois millions de transactions par jour provenant de plus de 3 500 comptes frauduleux, pour un total de plus de 151 millions de transactions entre mai et juillet 2026.
Le comportement des laboratoires qui ont orienté les demandes de leurs clients vers Claude est plus inhabituel. IA Moonshot (GTG-16002) a relayé près de 300 000 requêtes en dix jours via 5 380 comptes frauduleux, alors que les utilisateurs croyaient s'adresser à un mannequin Kimi ; Le trafic global attribué à Moonshot entre mai et juillet a dépassé 23 millions de transactions. Recherche profonde (GTG-16001) a plutôt utilisé des chaînes pour reconnaître les requêtes provenant d'outils tels que Claude Code, en acheminant une partie d'entre elles vers Claude Opus pour plus de 12,1 millions de transactions en 14 jours. Parmi les demandes retournées, Anthropic a détecté un utilisateur possiblement lié à l'Armée populaire de libération demandant l'analyse des images de vidéosurveillance de centaines de caméras à Chengdu, y compris celles situées à l'extérieur des installations militaires, et un opérateur disposant d'informations d'identification en direct pour une base de données liée au ministère russe de la Défense.
Xiaomi (GTG-16008) a plutôt enregistré les sessions des utilisateurs de ses modèles MiMo et les a rejouées sur Claude pour générer des données d'entraînement, sans toutefois – selon Anthropic – renvoyer directement les réponses de Claude aux utilisateurs finaux ; parmi les données transmises figuraient des informations personnelles sur des centaines de personnes dans au moins une douzaine de langues. Zhipu (Z.ai) a effectué une rotation de 273 comptes pour plus de 770 000 transactions en dix jours, en essayant d'abord Fable, puis en se tournant vers des modèles jugés moins sécurisés pour entraîner GLM-5.3. SenseTime aurait acheté des transcriptions auprès de tiers, tandis que MiniMax exploitait un réseau proxy via une société écran qui ne proposait que des modèles Anthropic et OpenAI, excluant même le sien.
Missiles, drones et guerre électronique : Claude dans les armes conventionnelles
Pour la première fois, Anthropic documente ses propres cas liés au développement d’armes. Une cellule dans le Yémen Northern (GTG-87001) a utilisé Claude Code à la place d'ingénieurs humains pour les logiciels de guidage, de navigation et de contrôle de trois programmes de missiles, dont un missile à plusieurs étages d'une portée déclarée de plus de 2 000 kilomètres. Les opérateurs ont exécuté plusieurs instances de Claude en parallèle, répartissant le travail entre les différentes sessions afin qu'aucune ne révèle l'intention globale ; après un lancement de test apparemment raté, les mêmes acteurs sont revenus au modèle quelques heures plus tard pour comprendre ce qui n'allait pas.
Un deuxième cas (GTG-27005), probablement lié à des acteurs russes indépendants, concerne un essaim autonome de drones kamikaze FPV avec un modèle de langage réduit embarqué pour le cadrage des cibles en phase terminale de vol : le système pourrait sélectionner de manière autonome des cibles de la classe « personne » et activer la détonation sans aucun contrôle humain, avec un classificateur d'images entraîné sur des images de combat ukrainiennes capturées sur le terrain. Un troisième cas, d'origine chinoise (GTG-17002), concerne une suite d'environ 16 modules destinés à la guerre électronique et à la neutralisation des systèmes de défense aérienne ennemis : à mi-parcours du projet, le scénario de simulation par défaut a été remplacé par douze cibles situées à Taiwan.
Surveillance de masse : le cas Lakana 360 au Mali
Le chapitre sur la surveillance raconte comment, au Mali, un seul consultant a utilisé Claude comme principale force d'ingénierie pour construire « Lakana 360 », une plateforme capable de surveiller environ 25 millions de cartes SIM sur les trois opérateurs mobiles nationaux. Le système identifie les personnes vocalement même en cas de changement de carte SIM, signale celles qui utilisent le cryptage ou le VPN et connecte les individus au registre biométrique civil national. La suspension du compte n'a fait que perturber le développement du logiciel, pas son fonctionnement, puisque la plateforme fonctionne sur des modèles locaux installés directement sur site. Anthropic rapporte une dynamique similaire en Iran, où certaines unités affirment avoir surveillé et profilé 6 388 citoyens au cours d’une année.
La biologie du double usage et les limites des filtres de sécurité
C’est le chapitre dans lequel Anthropic est le plus autocritique. Le rapport documente cinq cas anonymisés impliquant des scientifiques actifs dans lesquels Claude a contribué à des projets à double usage potentiellement dangereux. Lors d'un incident, le classificateur de biosécurité a bloqué une demande de financement pour un travail de gain de fonction sur le virus chikungunya prévu dans un institut de recherche militaire ; Cependant, l'opérateur de la plateforme avait mis en place un système de secours qui redirigeait les demandes rejetées par Claude vers un modèle concurrent, qui, selon le rapport, avait lui-même écrit une grande partie du code de ce mécanisme. D'autres projets, comme l'écriture d'une application sur les gènes d'évasion immunitaire chez les orthopoxvirus, se sont poursuivis sans obstacles majeurs.
La conclusion d'Anthropic est claire : un classificateur ne peut pas simultanément permettre une recherche utile et prévenir tout dommage, car l'intention de l'utilisateur dans les zones à double usage n'est presque jamais détectable avec certitude. Jacob Klein, responsable du renseignement sur les menaces de l'entreprise, a décrit le problème comme « une situation incroyablement complexe », notant que nous voyons rarement des demandes explicites telles que « Je veux construire une arme biologique ». En réponse, Anthropic a lancé Claude Fable 5 avec des protections plus strictes sur les demandes de biologie à double usage, tandis que la fonctionnalité de « pensée préservée » introduite avec Fable 5.1 devrait empêcher les nouveaux comptes API de manipuler le contexte à des fins de distillation. Selon l’entreprise, le seul chemin sûr vers des capacités biologiques de pointe passe par des programmes utilisateur vérifiés.
FAQ
Quelle période couvre le rapport sur les menaces d'Anthropic ?
Le rapport analyse les cas d’abus survenus entre décembre 2025 et août 2026.
Quels modèles de Claude étaient les plus impliqués dans les abus ?
Les modèles les plus touchés sont Haïku, Sonnet et Opus, tandis que les plus récents Fable et Mythe n'apparaissent que dans un seul cas, lié à la distillation.
Comment les attaquants ont-ils utilisé l’IA pour échapper aux logiciels antivirus ?
Un groupe russophone a utilisé des boucles de rétroaction basées sur l'IA pour réécrire à plusieurs reprises le code du malware jusqu'à ce qu'il passe inaperçu par les outils de sécurité.
À quel type d’activités non autorisées les laboratoires d’IA chinois liés à Claude impliquaient-ils ?
Plusieurs laboratoires chinois ont mené des campagnes de distillation à l'échelle industrielle, acheminant les demandes de leurs utilisateurs via Claude et utilisant ses résultats pour entraîner leurs modèles sans autorisation.
Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.
Voir l’article original en italien
