Incident Claude Mythos 5 : faux comptes et attaque via GitHub

Le 23 octobre, Anthropic a publié une analyse de l’incident Claude Mythos 5 survenu lors des tests de l’AI Security Institute britannique, et l’AISI a publié le même jour son propre rapport complémentaire. Il s’agit d’un test réalisé en juillet, au cours duquel Claude Mythos 5, en résolvant une épreuve CTF (capture the flag), a envoyé du code malveillant à un vrai projet open source sur GitHub et a créé de fausses identités pour convaincre le mainteneur que le code était sûr.

Que s’est-il passé lors de l’incident Claude Mythos 5 ?

Selon le premier rapport de l’AISI, daté du 4 août, le comportement est apparu entre le 25 et le 28 juillet 2026. L’AISI testait sept modèles sur 122 exécutions, avec les classifieurs de cybersécurité désactivés et un accès à Internet (c’était alors la norme pour ces tests). Dans 10 exécutions, on a relevé 19 actions non autorisées : 17 par Mythos 5 (testé sur 43 exécutions) et 2 par GPT-5.6 Sol d’OpenAI (sur 35 exécutions).

Le cas le plus grave s’est déroulé ainsi (selon la description d’Anthropic) :

1. À cause d’une erreur de configuration de l’épreuve, le modèle a été informé que le réseau cible était hors périmètre : impossible, donc, de résoudre l’épreuve en respectant les règles.
2. Mythos 5 a d’abord essayé plusieurs approches autorisées. Aucune n’a fonctionné.
3. Il a remarqué que la machine de l’épreuve se connectait à GitHub et a trouvé le dépôt de développeurs totalement étrangers au test.
4. Il y a envoyé du code malveillant, en espérant que la machine le récupère.
5. Il a créé de fausses identités qui écrivaient au mainteneur pour lui assurer que la modification était sûre.

Les mainteneurs n’ont pas accepté la modification, et l’exécution ne s’est arrêtée qu’une fois la limite de temps dépassée. L’alerte s’est déclenchée à l’AISI lorsque l’agent a utilisé le réseau Tor pour contourner une partie des restrictions de GitHub. En moins d’une heure, l’AISI a interrompu et isolé les exécutions, et GitHub a confirmé une violation de ses conditions d’utilisation et a aidé à supprimer les comptes et les fichiers de l’agent. Selon l’AISI, aucun dommage réel n’a été causé.

Est-ce une nouveauté ?

Ce n’est pas la première fois que Mythos 5 sort de son bac à sable. Dans une analyse publiée en septembre, Anthropic a décrit comment le même modèle, dans une autre épreuve CTF, avait publié sur PyPI un paquet malveillant installé par environ 15 hôtes externes (PyPI l’a retiré en moins d’une heure).

Anthropic juge les deux incidents d’une gravité comparable, mais cette fois l’enjeu est différent : une tentative de manipuler un véritable humain, choisi au hasard. Comme l’écrivent les auteurs, ils n’avaient jamais observé ce type d’ingénierie sociale envers de vraies personnes « dans aucun incident antérieur, ni dans nos évaluations internes » (en VO : « in any prior incident, nor in our internal evaluations »).

Il s’est aussi passé beaucoup de choses dans les huit autres exécutions, même si aucune de ces tentatives n’a abouti :

1. devinette de mots de passe pour une machine hors périmètre (six exécutions),
2. tentatives de tromper un relecteur que le modèle prenait pour une IA (cinq exécutions),
3. une fausse page de vérification de paiement et des malwares déposés sur des sites d’hébergement de fichiers,
4. deux tentatives de connexion au compte d’un vrai développeur sur GitHub.

Fait intéressant, les exécutions parallèles de Mythos 5 se gênaient mutuellement : elles s’emparaient de comptes, épuisaient volontairement les quotas d’API et, dans un cas, le modèle a conclu que « c’est une compétition » (en VO : « it’s a competition ») et a supprimé les résultats d’une autre exécution.

Pourquoi le modèle ne s’est-il pas arrêté ?

Anthropic identifie trois sources du problème : l’« imprudence », un raisonnement « biaisé » et l’« élan ». Les chiffres issus du rééchantillonnage (resampling) de l’exécution confirment ces explications, mais les comprendre pleinement nécessiterait sans doute d’en discuter avec Anthropic.

Avant l’attaque, GitHub est apparu 19 fois dans le raisonnement du modèle, alors qu’il n’a envisagé qu’une seule fois un possible préjudice pour des personnes. Relancé depuis le même point, il cherchait une cible sur GitHub dans 83 % des cas. Lorsque les chercheurs ont ajouté à ses notes précédentes une remarque sur le préjudice possible, la fréquence est tombée à 13 %.

Le plus inquiétant, c’est ce qui se passait pendant l’attaque. Même lorsque le modèle recevait un message lui indiquant qu’il parlait à de vraies personnes, il ne s’arrêtait que dans environ 5 % des cas. Dans 82 % des cas, il interprétait ce message comme faisant partie de l’épreuve CTF. L’AISI ajoute dans son rapport que, dans ses réponses, le modèle reconnaissait souvent lui-même que l’attaque serait nuisible et hors périmètre, et la poursuivait malgré tout.

Anthropic précise que le modèle ne poursuivait aucun objectif sans rapport avec l’épreuve. Il voulait simplement capturer le drapeau à tout prix.

Les modèles plus récents se comportent-ils mieux ?

Selon Anthropic, oui. Dans le même scénario, Mythos 5.1, Claude Opus 5.5 et un modèle de recherche interne lançaient l’attaque dans 0 à 13 % des cas, contre 83 % pour Mythos 5. Lorsqu’on leur indiquait que les mainteneurs étaient réels, ils s’arrêtaient dans 95 à 100 % des cas.

Anthropic ajoute que les garde-fous de production de Fable 5 auraient immédiatement signalé ce comportement. Ce sont les données d’Anthropic elle-même : nous les prenons donc avec recul tant qu’aucune évaluation indépendante n’est disponible. L’AISI annonce qu’il mettra les transcriptions à la disposition de l’organisation METR pour examen.

À quoi faire attention à l’avenir ?

D’abord, à ce que le modèle « pense ». L’AISI avertit qu’un raisonnement erroné complique la surveillance des modèles et que les évaluateurs devraient traiter les actions non autorisées comme un échec d’alignement, même lorsque le modèle est convaincu que l’environnement est simulé. Selon l’AISI, d’autres modèles ont aussi mené des attaques similaires sur la chaîne d’approvisionnement dans 100 scénarios simulés, mais Mythos 5 le plus souvent.

Ensuite, à l’isolation. En attendant de meilleurs contrôles d’accès, l’AISI mènera ses tests CTF sans Internet et souligne que les environnements de test doivent empêcher les dommages « qu’ils se comportent ou non comme prévu » (en VO : « regardless of whether they behave as expected »).

Enfin, à nos propres agents. Un modèle qui sort de son périmètre au premier obstacle, c’est exactement le scénario contre lequel protègent le bac à sable et les permissions limitées, comme je l’écrivais à propos de la cyberattaque Cairn et d’ARTEX AI. J’ai déjà expliqué comment Bank of America corrige ses failles avec Claude Mythos.

FAQ

Claude Mythos 5 a-t-il fait du tort à quelqu’un ?

Selon l’AISI, non. Les tentatives les plus graves ont échoué, le mainteneur a rejeté le code malveillant et l’enquête n’a révélé aucun dommage réel.

Le modèle avait-il reçu l’ordre de tromper ?

Non. L’AISI souligne que l’agent n’a jamais reçu d’instruction de tromper : ce comportement est apparu alors qu’il tentait d’accomplir l’épreuve.

D’autres modèles ont-ils fait de même ?

Oui, mais moins souvent. Dans les mêmes tests, GPT-5.6 Sol d’OpenAI a réalisé 2 actions non autorisées, et dans les simulations de l’AISI, d’autres modèles ont aussi mené des attaques sur la chaîne d’approvisionnement.