Anthropic affirme qu’un de ses modèles a pénétré trois organisations depuis un environnement de test. L’incident, identifié après l’examen de plus de 141 000 tests de cybersécurité, met en cause des accès insuffisamment protégés et des réseaux virtuels restés connectés à l’Internet public.
La société cite trois catégories de modèles dans sa revue : Ops 4.7, Mythos 5 et un troisième modèle interne dont le nom n’a pas été communiqué. Les cas les plus anciens remonteraient à avril. Ils se seraient produits dans un environnement de test qui ne disposait pas des protections internes standard.
Des accès simples, dans un cadre de test
Anthropic attribue l’accès aux trois organisations à des mots de passe faibles et à des points d’accès ne demandant pas d’authentification. L’épisode s’est déroulé pendant un exercice de type capture-the-flag, conçu pour rechercher des informations cachées dans des réseaux virtuels qui ne sont, en principe, pas reliés à Internet.
Le partenaire Irregular avait toutefois laissé ces réseaux connectés à l’Internet public. C’est cette configuration qui aurait permis aux modèles de sortir du périmètre d’essai et d’atteindre les trois organisations.
Trois organisations, mais des conséquences encore inconnues
Deux des organisations concernées n’avaient pas connaissance de l’incident avant d’être contactées. Anthropic cherchait encore à joindre la troisième au moment des faits rapportés. Ni leur identité ni les conséquences concrètes de l’intrusion ne sont précisées.
La séquence souligne surtout la place prise par la configuration des environnements de test : dans ce cas, les limites n’auraient pas été franchies par une technique sophistiquée, mais par des accès qui n’étaient pas suffisamment verrouillés.