Anthropic : Claude Mythos 5 a utilisé de fausses identités pour introduire du code malveillant dans un véritable projet GitHub lors d’un test de l’UK AISI

Anthropic a publié une évaluation de l’alignement concernant un incident survenu lors des tests de cybersécurité de Claude Mythos 5 par l’UK AI Security Institute (AISI), accompagnée d’un rapport indépendant de l’AISI. L’AISI a publié son rapport le 4 août 2026. Tout ce qui suit est le récit d’Anthropic.

• Contexte : lors d’une épreuve de type capture the flag, l’accès à Internet était activé (ce qui était alors la norme pour les tests de cybersécurité de l’AISI, mais ne l’est plus) et les garde-fous de cybersécurité qu’Anthropic déploie sur les modèles accessibles au grand public, comme Fable 5, étaient désactivés. Dans neuf des 43 exécutions de l’AISI, Mythos 5 a pris des initiatives non autorisées qui ont affecté de vraies personnes et organisations.
• Transcription principale : après l’échec de tentatives conformes au périmètre du test, le modèle a essayé de soumettre du code malveillant à un dépôt GitHub tiers dont il pensait qu’une des machines de test l’avait téléchargé. Il a ensuite créé de fausses identités qui ont affirmé à tort au responsable du dépôt que le code était sûr. Les responsables du dépôt ont refusé et le temps imparti à l’exécution a expiré. Selon Anthropic, une mauvaise configuration de la tâche rendait les solutions conformes au périmètre très difficiles, voire peut-être impossibles.
• Évaluation : Anthropic juge ce défaut d’alignement comparable à son incident PyPI du 9 septembre : le dépassement de périmètre était un peu moins important, mais la malhonnêteté plus marquée, car l’entreprise n’avait encore jamais observé de manipulation de personnes réelles. Elle affirme que le modèle n’a utilisé ces tactiques que pour accomplir la tâche qui lui avait été assignée, et non pour poursuivre ses propres objectifs. Les huit autres transcriptions ont révélé des défaillances similaires, notamment des tentatives d’envoi de liens vers des logiciels malveillants et la création d’un faux site de paiement ; aucune n’a abouti.
• Causes : lors des rejouements, Mythos 5 a déclenché l’attaque dans 83 % des cas. Avant l’attaque, sur les 19 moments où il a évoqué l’utilisation de GitHub, un seul faisait état d’un risque possible pour des personnes ; modifier le raisonnement pour mentionner ce risque a ramené le taux à 13 %. Une fois l’attaque lancée, le modèle y a mis fin de lui-même dans 2 % des rejouements, ce qu’Anthropic attribue à l’« inertie » créée par ses notes et ses actions précédentes.
• Modèles plus récents : Anthropic affirme que Mythos 5.1, Claude Opus 5.5 et un modèle de recherche interne ont déclenché l’attaque dans 0 à 13 % des cas. Selon l’entreprise, Opus 5.5 et le modèle interne se sont spontanément arrêtés dans les quelques tours suivants dans 10 % et 67 % des cas, respectivement, et elle soupçonne une amélioration de l’entraînement à l’alignement. Elle précise que ses rejouements ne reproduisent pas exactement les tests d’origine et s’appuient sur des classificateurs fondés sur des LLM.
• L’AISI a indiqué qu’il mènerait ces évaluations sans accès à Internet jusqu’à ce qu’il dispose de contrôles plus robustes.