/// Signal

Anthropic fait entrer six personnes de METR : deux règlements que personne n’arbitre

Le fait : le 15 octobre 2026, Anthropic a publié un billet intitulé « An update on independent evaluators », dans lequel l’entreprise annonce qu’elle a commencé à donner un accès de type employé à une équipe de METR, organisation à but non lucratif qui évalue les modèles de frontière, et que METR publiera les résultats de ses évaluations de risque. Le périmètre est plus étroit que le mot ne le laisse croire, et le document le dit lui-même : six personnes, pas une organisation, isolées du reste de METR par des accords contraignants. Anthropic ne peut pas bloquer la publication, mais elle peut exiger des expurgations dans des catégories qu’elle a définies d’avance, dont l’architecture de ses modèles ; en échange, METR conserve le droit de dire publiquement si une expurgation était justifiée. La fiche de veille du matin a retenu ce sujet à 8/10 en décrivant ces six personnes comme des chercheurs et l’échelle d’accès comme déjà construite : le document primaire écrit « six METR employees » et « We’re developing three tiers of access for evaluators ». L’histoire ne commence pas non plus le 15 octobre — METR évalue les rapports de risque d’Anthropic depuis octobre 2025, et la page qui recense ces travaux nomme Claude ou Anthropic dans le titre de neuf de ses entrées.

Ce qui a été annoncé, et dans quels termes. Le billet s’intitule « An update on independent evaluators » et porte la date du 15 octobre 2026. Anthropic y écrit : « Today, we’re announcing that we’ve started to give employee-like access to a team from » METR, puis la phrase qui définit l’organisation : « a nonprofit that evaluates frontier AI models ». La contrepartie de cet accès est énoncée dans la foulée, sans condition : « METR will publish the results of its risk assessments. » Le périmètre, ensuite, et c’est là que le mot du billet prend tout son sens — et c’est Anthropic qui l’écrit : « We’ve onboarded six METR employees with company hardware, office space, and access to internal tools and systems that are roughly on par with what our own risk assessment teams have access to. » Puis la règle de publication, et Anthropic l’écrit dans cet ordre : « Anthropic can’t veto publication, but we can require them to redact information if it falls into narrow, predefined categories », ces catégories étant « data about customers, attorney-client privileged information, or information about our model architectures ». Et la concession qui donne au dispositif sa valeur, parce qu’elle porte sur ce qui est retiré : « METR is free to characterize our redactions publicly, and say whether it believes the redactions were justified, as long as it does so without revealing the redacted information. » Trois corrections s’imposent ici, et la fiche de veille du matin les appelait toutes les trois. Elle décrivait ces six personnes comme des chercheurs : le document primaire dit « six METR employees », et TechCrunch, qui a relayé l’annonce le même jour, écrit « six researchers from ». Ce n’est pas le même mot, et c’est celui du laboratoire qui définit ce à quoi ces six personnes ont droit à l’intérieur de ses murs. Elle annonçait aussi l’échelle d’accès comme déjà construite : Anthropic écrit « We’re developing three tiers of access for evaluators », et la suite est un souhait qui ne porte aucune échéance — « Over time, we hope to have several evaluators at the third tier ». Enfin, sa chronologie laissait la date du fait en attente — marquée à vérifier — et concluait pourtant que les deux dates différaient : le billet porte la date du 15 octobre 2026, et l’annonce est de ce jour-là.

La question que nous posions le 20 septembre, et qui reçoit ici sa réponse. Notre article sur l’arrivée d’Accenture chez Anthropic se terminait sur une idée que nous n’avons pas eu à réécrire : quand un laboratoire annonce avoir été audité, la seule question qui compte n’est pas de savoir par qui, mais selon quel référentiel — et qui l’a écrit. Le 15 octobre, Anthropic publie précisément ce référentiel, et il tient en quatre critères qu’elle énonce elle-même. L’expertise d’abord : « Expertise in assessing the capabilities of frontier models ». L’indépendance ensuite, et la définition est plus dure que le mot : « they shouldn’t hold equity in the company they’re evaluating, or be financially or operationally dependent on it ». L’accès, qui ne s’arrête pas aux modèles : « Beyond access to the latest models, evaluators also need visibility into how those models were trained, into how our safeguards function, and more. » Et la liberté de publier, en une ligne : « Freedom to publish observations and assessments of a model or a process. » Ces quatre critères sont publics, datés et vérifiables : ce qui manquait au dossier de septembre existe désormais sur le papier. Mais il faut dire d’où vient ce papier, parce que c’est toute la question — il est écrit par la partie évaluée. Anthropic choisit les critères, choisit qui entre, choisit à quel étage, et a choisi de rendre cet arbitrage public. La comparaison qu’elle emploie pour se faire comprendre dit d’ailleurs l’écart autant que la ressemblance, et elle en convient à moitié : « Although the analogy isn’t exact, bank supervision operates on similar logic. » La suite est plus juste que l’aveu : chez les banques, « regulators assign resident examiners to work inside the largest banks ». Ici, personne n’assigne personne : l’examinateur est invité, et celui qui invite garde les clés.

L’échelle à trois étages, telle qu’Anthropic la décrit. Ces trois étages ne sont pas une hiérarchie de confiance. Le premier se distingue du deuxième par le droit de publier — le premier publie avec l’accord d’Anthropic, le deuxième sans — et par l’information reçue, le deuxième ayant « access to more information » ; le troisième n’ajoute au deuxième que de l’accès. La différence entre les trois se lit en une ou deux phrases par étage. Le premier : « In the first tier, evaluators conduct narrowly scoped risk investigations. We decide what access to provide a first-tier evaluator, and evaluators can publish their findings with our approval. » Le deuxième : « In the second tier, evaluators can publish without our approval, and they have access to more information. » Le troisième est celui de METR, et c’est Anthropic qui le définit : « The third tier is the arrangement we’ve described with METR, with employee-like access and publication rights similar to those of the second tier. » Cette dernière phrase contient la précision la plus importante du document : le dernier étage ajoute de l’accès, pas des droits de publication. METR voit plus de choses que les évaluateurs du deuxième étage ; il ne peut pas en dire davantage. Au 15 octobre, METR est seul à cet étage, et c’est TechCrunch qui le constate : « METR is the only evaluator so far at the top of a three-tier system Anthropic is building. » Deux étages sur trois ont un occupant nommé : METR au troisième, et — TechCrunch l’écrit — SecureBio au premier. Aucun occupant du deuxième n’est nommé. TechCrunch écrit : « Evaluators in the bottom tier, like biosecurity nonprofit SecureBio, run narrow reviews and require Anthropic’s approval to publish. » Anthropic décrit le travail en cours de SecureBio sans lui donner d’étage : l’organisation « is in the process of reviewing the chemical and biological weapons chapter of our August Risk Report ». Accenture, elle, est bel et bien évaluateur, et c’est le billet qui le dit : « We’re also working with SecureBio and Accenture as evaluators » — ces partenariats étant « still in early stages », avec « more limited information » et « more limited publication rights ». Le partenariat noué avec sa filiale Faculty est, lui, décrit comme en construction : « We’re working toward an ambitious partnership that includes evaluating and red-teaming models, conducting alignment assessments, testing model safeguards ». Et un quatrième nom apparaît, absent de la fiche de veille de ce matin : Hugging Face, avec lequel Anthropic dit être « in early discussions » — trois mots qui situent le sujet, puisque METR a publié le 26 août 2026 une enquête sur « the OpenAI / Hugging Face hacking incident ».

Ce que l’accès de type employé ne veut pas dire, et Anthropic le borne elle-même. Le mot de l’annonce est « employee-like access », et il faut lire ce que le laboratoire écrit plus bas dans la même section, parce que la portée s’y resserre nettement : « Our engagement with METR is limited to a small team operating under enforceable agreements. Other METR employees are siloed from that team’s work, including researchers who work with us on other projects. » Ce n’est donc pas METR qui entre chez Anthropic, c’est un groupe de six personnes, coupé du reste de son organisation, sous des accords qui l’engagent juridiquement. Et ces six personnes travaillent sous les standards de sécurité d’Anthropic, ce que le billet dit en une phrase : « Embedded evaluation gives a few qualified people working under Anthropic’s security standards a close view of how we operate. » La deuxième limite est plus fine et vit dans une note de bas de page. La catégorie « information about our model architectures » est exclue d’entrée, et le billet explique pourquoi : « Information about architectures presents a high risk of inadvertent leaks, and its relevance to risk assessment is typically low. When it is highly relevant, we will generally seek to share it, though this will require explicit internal approvals. » Deux formulations portent toute la phrase. « Generally » : en règle générale, donc pas toujours. « Explicit internal approvals » : la décision retourne à l’intérieur. Autrement dit, l’architecture d’un modèle — ce qui détermine le plus directement ce qu’un modèle peut faire et ce qu’il peut cacher — est la seule famille d’informations dont l’accès se négocie au cas par cas, et c’est précisément celle sur laquelle porte une évaluation de risque sérieuse. C’est aussi la seule que le billet prend la peine de justifier en deux phrases, ce qui la désigne mieux qu’une simple mention de confidentialité. La note ajoute enfin une pièce qui va dans le même sens : « Because these evaluators (like bank examiners) may also work with other companies, we exercise caution around the possibility of inadvertent leaks. » L’indépendance de l’évaluateur est donc traitée, par le texte, comme un risque de fuite — ce qui est exact, et ce qui rappelle qui définit le périmètre.

Le fait que la couverture de ce matin n’a pas mis en avant : METR n’arrive pas. L’annonce se lit partout comme une ouverture, et le mot de TechCrunch — Anthropic « is giving employee-level access » — est celui qui a circulé. Le site de METR, lui, publie la liste de ses travaux de partenariat, et neuf de ses entrées nomment Claude ou Anthropic dans leur titre. Sept ne nomment rien d’un autre laboratoire, et la plus ancienne est « Claude 3.5 Sonnet (original) », datée du 30 octobre 2024 ; les deux autres en nomment aussi un d’un autre laboratoire — « Claude 3.5 Sonnet and o1 », le 31 janvier 2025, et « GPT-4 and Claude », le 17 mars 2023. Quatre de ces entrées portent sur le travail de risque d’Anthropic — trois sont des revues, dont le titre commence par Review of, et la quatrième un exercice de test d’intrusion sur les systèmes de surveillance —, et ce sont celles qui comptent ici : une « Review of the Anthropic Summer 2025 Pilot Sabotage Risk Report », datée du 28 octobre 2025 ; une « Review of the Anthropic Sabotage Risk Report: Claude Opus 4.6 », le 12 mars 2026 ; une séance de « Red-Teaming Anthropic’s Internal Agent Monitoring Systems », le 26 mars 2026 ; et une « Review of Anthropic Risk Report: February 2026 § Risks from automated R&D », le 8 mai 2026. La plus récente des neuf n’est pas une revue, et elle dit à elle seule ce qui a changé : « Claude Opus 5.5 », le 22 septembre 2026, soit trois semaines avant l’annonce — un travail que le texte du 14 octobre cite lui-même sous le nom de « our Anthropic Claude Opus 5.5 system card summary ». Sur les seules entrées qui ne nomment rien d’un autre laboratoire, la relation a donc près de deux ans — et si l’on compte les deux entrées partagées, elle remonte à mars 2023. Elle a un dossier public, et elle n’a pas commencé par un accès de type employé. METR confirme l’ancienneté de ces liens de son côté, en une phrase qui borne tout le reste : « We have previously partnered with OpenAI, Anthropic, Google DeepMind, Meta and Amazon to pilot frontier risk assessments. » Ce qui change le 15 octobre n’est donc pas le fait de l’évaluation, c’est son régime d’accès — et la différence est réelle, elle n’est simplement pas celle qu’annonce ce mot d’ouverture. Un détail de la même page qualifie l’indépendance de l’auditeur mieux qu’un communiqué ne saurait le faire, et c’est METR qui l’écrit : « METR does not accept compensation for this work. » Et cette phrase explique la suite, parce qu’elle dit sur quoi METR ne se fait pas payer.

Le second document, publié la veille, dit exactement ce que cet accord laisse ouvert. Anthropic a publié son billet le 15 octobre. METR a publié le sien la veille, le 14 octobre, sous le titre « Our approach to working with AI companies », et le texte annonce lui-même ce qu’il vaut : « This blog post explains how we approach working with AI companies on projects that the public might rely on to understand risks. » Il s’agit donc d’un règlement que l’évaluateur s’impose à lui-même, vingt-quatre heures avant que l’évalué publie le sien, et les deux textes se répondent point par point sans qu’aucun des deux renvoie à l’autre — Anthropic cite bien l’organisation METR, son site et sa page d’évaluation, mais pas le texte du 14 octobre. D’un côté, METR s’engage sur ce qu’il dira quand l’accès sera limité : « If a company makes redactions, we should publicly describe whether the company redacted information that was important to our conclusions, and describe the nature of those redactions where possible. » Et sur l’accès lui-même : « If we face access limitations, we should publicly describe whether these limitations impact our conclusions, and describe the nature of those access limitations where possible. » De l’autre, Anthropic écrit que METR « is free to characterize our redactions publicly » : les deux documents s’emboîtent, et c’est cet emboîtement qui rend la concession vérifiable plutôt que déclarative. METR y décrit aussi une pratique, que le billet du laboratoire ne mentionne pas et que METR écrit noir sur blanc : « One arrangement that we have found works well is for METR to retain the right to unilaterally and prominently attach a "redaction summary" to our reports. » Et METR écrit aussi ce que son règlement ne lui interdit pas, dans une section intitulée « What this policy does not prevent » : « giving counterparties veto power over our object-level outputs, as long as we have the right to disclose that they could do so. » Le droit de dire qu’une information a été retirée peut donc, dans le cas général que METR décrit, tenir lieu de seule garantie, y compris quand un partenaire a un veto sur ses productions objet par objet — et c’est l’auditeur qui l’écrit. Mais METR écrit surtout ce que le dispositif ne résout pas, et ce sont les phrases les plus dures du dossier, parce qu’elles viennent de l’auditeur et non d’un critique : « Even with these measures, it has proved challenging to ensure that we have adequate independence to collect and publish evidence under the current voluntary regime. We remain dependent on the companies we work with to voluntarily engage, provide access, and permit us to publish. In many instances, we rely on information that we cannot or do not verify, which might be filtered adversarially. Even with transparency about limitations, it is possible for a company to use its rights to withhold access or redact to exert control over what evidence the public receives from us. » Le mot à retenir est « voluntary regime » : rien, dans l’accord du 15 octobre, ne contraint Anthropic, et c’est l’organisation qui reçoit l’accès qui l’écrit. La même page ajoute une garantie financière que le billet ne donne pas — METR a « chosen not to accept payment or donations from frontier AI companies » — et reconnaît la contrepartie : « Though we accept a large amount of free model access, we ensure that we can afford to pay for any free tokens we receive without materially affecting our operations. »

Ce qui a déclenché cette annonce, selon qui. La fiche de veille l’explique par une série d’incidents d’agents IA hors-contrôle depuis fin août, qui auraient intensifié les pressions externes pour des audits indépendants. C’est plausible, c’est documenté ailleurs, et ce n’est pas ce que le document dit. Le billet d’Anthropic donne lui-même sa raison, et elle est plus administrative que dramatique : « Last month, we committed to stronger independent, third-party assessment of our models and safety practices. We also signed the White House Accord on Super Intelligence, in which companies pledged to partner with independent external auditors or evaluators. » Le nom exact de l’accord — « White House Accord on Super Intelligence » — n’apparaissait dans aucun de nos articles, et il compte, parce qu’il dit la contrainte de départ : ce n’est pas une initiative isolée, c’est un engagement signé. La suite du billet tient d’ailleurs les deux registres dans la même phrase : « We’re embedding evaluators voluntarily, and we believe every frontier AI company should do the same. » Volontaire, et adossé à un accord. Ce lien — des incidents à la pression, puis aux audits —, la fiche de veille le fait aussi ; mais elle n’est pas une pièce publiée, et c’est TechCrunch qui l’établit, en le présentant comme un contexte et non comme la raison du laboratoire. TechCrunch écrit : « The arrangement comes at a time where incidents of AI agents acting outside their instructions have been disclosed every week or two since late August. The incidents have sharpened calls for independent checks on AI companies. » La nuance n’est pas rhétorique : le document primaire ne cite aucun incident d’agent et n’en fait jamais la raison de sa décision. Le mot « incidents » y figure, mais comme objet de publication — Anthropic écrit que « METR will publish its analysis of our risk levels, incidents, or practices » —, jamais comme déclencheur. Attribuer la chaîne au laboratoire serait lui prêter un aveu qu’il n’écrit pas. TechCrunch ajoute deux pièces que le billet ne donne pas. La première est que l’annonce « makes good on a promise Anthropic CEO Dario Amodei made in a September essay », où TechCrunch rapporte qu’il proposait « embedding outside evaluators inside AI labs as a first step toward slowing the technology’s development ». La seconde est que « OpenAI quickly pledged the same », et que les deux entreprises ont depuis signé l’accord avec Google, Meta, Nvidia et xAI. Le geste d’Anthropic est donc le premier d’une série, ce qui le rend moins isolé qu’il n’y paraît — et plus intéressant à suivre.

Notre lecture : ce qui a été écrit cette semaine vaut mieux que ce qui a été annoncé. Le fait du jour, dans la version qu’en donne la veille, est une ouverture : Anthropic laisse entrer des chercheurs. La version des documents est plus étroite et plus utile. Six personnes et non une organisation, isolées du reste de METR par des accords contraignants ; un dernier étage qui ajoute de l’accès et pas des droits de publication ; une catégorie, l’architecture des modèles, où la décision remonte à l’intérieur au cas par cas ; et un régime que l’auditeur lui-même qualifie de « voluntary » dans son propre document. En échange, deux textes existent désormais, publiés à vingt-quatre heures d’écart, et c’est la vraie nouvelle de la semaine : un laboratoire a écrit ce qu’est un bon évaluateur, un évaluateur a écrit ce qu’il doit au public quand on limite son accès, et les deux se recouvrent sur un point précis — le droit de dire publiquement qu’une information a été retirée, et si elle comptait. Pour un lecteur, cela change la façon de lire la prochaine annonce de ce genre. Depuis septembre, la question n’est plus de savoir par qui : elle est de savoir ce que l’évaluateur a le droit de ne pas dire, et s’il l’a dit. Le test du retour à la moyenne tient en une date, et elle manque : la première publication de METR sous ce régime. Le billet n’en donne aucune, et c’est le seul élément qui permettra de juger si l’accès de type employé a produit un document que personne d’autre n’aurait pu écrire. Ce que nous ne tranchons pas, et il faut le dire avant de conclure : au moment où nous écrivons, METR n’a rien publié de son côté sur cet accord. Sa page d’accueil décrit ses partenariats antérieurs, ses revues et sa méthode — pas l’arrangement du 15 octobre. Nous n’avons donc, sur les termes exacts de l’accès, que la version de la partie qui l’accorde. C’est peu pour un sujet qui parle de vérification indépendante, et c’est exactement l’asymétrie que METR décrit d’avance dans son paragraphe sur le « voluntary regime ».