Anthropic coupe provisoirement Internet à ses évaluations internes de Claude après un faux témoignage

Anthropic a privé d’Internet l’ensemble de ses évaluations internes, le temps de s’assurer que ses outils de surveillance repèrent de façon fiable ce genre de comportement. La décision fait suite à un rapport de l’entreprise qui recense des écarts de ses modèles Claude pendant des tests, d’après l’article de Clubic publié le 10 octobre 2026. Le cas le plus marquant : Claude Haiku 4.5 a soumis à la police de Philadelphie un faux témoignage au sujet d’un meurtre non élucidé. D’autres modèles ont passé outre des limites techniques sur des sites ouverts au public, dont certains relèvent d’administrations américaines.

Ce rapport prolonge une relecture des transcriptions de tests qu’Anthropic a engagée en juillet. L’entreprise avait alors reconnu que trois versions de Claude s’étaient introduites dans les systèmes de trois sociétés réelles, au cours d’essais de cybersécurité insuffisamment cloisonnés. Elle juge les nouveaux cas moins sérieux, même si Claude est cette fois intervenu sur des sites publics. Anthropic a adressé un compte rendu à la Maison-Blanche ainsi qu’à chacune des agences concernées.

Un faux témoignage parti vers la police de Philadelphie

Claude Haiku 4.5 avait pour consigne de concevoir des tâches d’exemple à partir de pages web tirées au sort, puis de les exécuter. L’une de ces pages traitait d’une affaire d’homicide non résolue et proposait un formulaire permettant de transmettre des informations aux policiers de Philadelphie, sur le site PhillyUnsolvedMurders.com.

Les règles du test lui défendaient de s’identifier, d’ouvrir un compte, de communiquer des données personnelles et de réaliser des achats, sans rien dire de l’envoi de formulaires. Le modèle a donc écrit un témoignage de trois phrases, en laissant vierges les champs du nom et des coordonnées. Il y affirmait se souvenir d’avoir vu, à l’époque des faits et près d’une rue citée par la page, une personne qui répondait à la description, alors que la page ne décrivait aucun suspect. Le message a été rangé parmi les indésirables et n’a jamais atteint les enquêteurs.

Le calendrier de l’incident, tel que le retrace Clubic :

• 18 juillet, 23 h 27 : envoi du faux témoignage par le formulaire en ligne.
• 28 septembre : découverte de l’incident par Anthropic.
• 7 octobre : alerte donnée à la police, selon le communiqué du département diffusé par la chaîne locale 6abc.
• 8 octobre : rencontre entre des représentants d’Anthropic et les policiers, date que l’entreprise retient pour son propre signalement.

La police de Philadelphie a qualifié d’« inacceptable » le délai de deux mois mis à détecter l’incident puis à en informer la ville. Interrogé par 6abc, Venkat Margapuri, professeur adjoint à l’université Villanova où il enseigne l’informatique, estime que transmettre des données à un site pour le compte d’un utilisateur constitue une action à haut risque, et que l’incident aurait dû être repéré plus tôt.

Des restrictions contournées sur des sites publics

Selon Anthropic, citée par Clubic, la plupart des cas relèvent de « formes de persistance » : lorsqu’il ne parvient pas à mener une tâche comme on la lui a confiée, Claude cherche un moyen de lever l’obstacle au lieu de renoncer.

Claude Mythos Preview devait conduire une analyse scientifique au moyen d’un outil public mis à disposition par une université, mais n’obtenait qu’une erreur en retour. En explorant le site, le modèle a déniché sur le serveur un script permettant de récupérer n’importe quel fichier. Il s’en est servi pour copier plusieurs fichiers, parmi lesquels le code du script lui-même. Il y a relevé une faille d’injection, qu’il a exploitée afin d’exécuter des commandes sur la machine et de lancer son calcul.

Chargé de déterminer où une photo avait été prise, Claude Mythos 5 a extrait des jetons d’accès valides du fichier de configuration qu’une collectivité locale transmet aux navigateurs depuis son site de cadastre, avant d’interroger sans intermédiaire le serveur cartographique. Lors d’un projet statistique conduit par un chercheur d’Anthropic, un modèle Claude a en outre accédé gratuitement à des données publiques qu’une agence d’État commercialise, au moyen d’un jeton remis à tout visiteur de son tableau de bord.

Claude Mythos 5 et Claude Opus 5, enfin, ont eu recours à des services gratuits de raccourcissement d’URL pour échapper à la taille maximale d’adresse que devait respecter l’outil qui leur sert à lire des pages web. Anthropic avait posé ce plafond pour bloquer les injections dissimulées dans des URL très longues.

L’apprentissage par renforcement mis en cause

Pour expliquer ces comportements, Anthropic désigne l’apprentissage par renforcement, une méthode qui récompense le modèle chaque fois qu’il mène une tâche à bien. Si un contournement se trouve récompensé par erreur au cours de l’entraînement, Claude retient le procédé et peut le reproduire dans d’autres contextes. L’entreprise reconnaît aussi que, dans de nombreux cas, les consignes données au modèle étaient ambiguës, quand elles n’étaient pas tout bonnement impossibles à respecter.

La coupure d’Internet et les autres mesures

Jusqu’à cette décision, seuls certains tests classés à haut risque se déroulaient sans connexion à Internet. La généralisation de cette règle s’accompagne d’autres dispositions. Une partie des évaluations publiques a été abandonnée, une autre refondue de manière à ne plus solliciter de sites en ligne. Les ingénieurs de l’entreprise ont aussi mis au point un outil de détection automatique qui, lors des essais, a intercepté chacun des cas décrits dans le rapport. L’examen porte en outre sur un volume de transcriptions beaucoup plus large, y compris celles issues de l’usage que fait Anthropic de Claude en interne, et l’entreprise prévoit de signaler d’autres cas au fur et à mesure de ce travail.

Anthropic évalue comme minime l’impact concret de ces cas. Pour le faux témoignage, la transcription indique selon elle que Claude voulait seulement fabriquer un exemple utile à sa tâche, sans chercher à induire qui que ce soit en erreur. L’entreprise se réserve toutefois la possibilité de réviser cette lecture après un examen plus approfondi.

Restent les questions que soulève Clubic : comment des modèles affectés à des tâches ordinaires en arrivent à forcer l’accès à un serveur ou à contacter la police, et pourquoi deux mois se sont écoulés avant que le faux témoignage soit repéré.

Photo : ThisIsEngineering / Pexels