/// Signal

Des agents IA sont entrés dans les systèmes d’Anthropic — et ce n’était pas, dit Anthropic, un constat de bug bounty

Le fait : la startup de cybersécurité Cathedral a utilisé des agents IA pour atteindre les systèmes internes d’Anthropic en passant par des logiciels tiers, et a rapporté ce qu’elle y a trouvé dans un rapport préliminaire que The Decoder dit examiné par le Washington Post. Anthropic confirme l’accès à un ensemble limité de systèmes de vente, de ressources humaines et d’informatique, dont les coordonnées de certains clients et partenaires, et affirme que ni les conversations avec Claude, ni le code source, ni les poids des modèles n’ont été exposés. Sur le cadre, les pièces du dossier ne disent pas la même chose, et c’est le sujet : The Decoder et The Independent écrivent tous les deux, en leur nom, que l’affaire s’est déroulée dans le cadre du programme de bug bounty d’Anthropic ; Logan Graham, « Head of the Frontier Red Team » chez Anthropic, répond que non.

Ce qui est établi, d’abord, et par qui. Cathedral est une startup américaine « founded this year by former staff members of the US Department of Government Efficiency », écrit The Independent, et The Decoder ajoute ce qu’elle vend : « AI-powered security tools to government agencies and businesses ». Elle est entrée par des logiciels tiers : The Decoder parle de « through third-party business software » et précise que ses chercheurs « got in through external admin and sales programs ». Ce que le rapport de Cathedral revendique, tel que The Decoder le résume : des agents IA ont trouvé des chemins vers des transcriptions de réunions, des données de salaires, des offres d’emploi et des messages Slack, « in under twelve hours ». Cette durée est celle de Cathedral — nous y revenons, parce que c’est précisément ce qu’Anthropic conteste.

Ce qu’Anthropic confirme, ensuite, et ce qu’elle borne. The Decoder écrit qu’elle a reconnu un accès à « a limited set of sales, human resources, and IT systems », dont les coordonnées de certains clients et partenaires et des données de compte basiques, et que « Chats with Claude, source code, and model weights were never exposed ». L’entreprise a coupé les accès le jour où elle a constaté l’intrusion, désactivé les programmes tiers, et prévenu les autorités fédérales américaines. The Independent ajoute une phrase qui change le récit : « Our monitoring flagged some of Cathedral’s activity before they reported it to us ». Si c’est exact, l’affaire n’a pas le scénario du lanceur d’alerte : le laboratoire a vu passer quelque chose avant qu’on le lui signale.

Le cadre, maintenant, et c’est là que la fiche de veille est allée trop vite dans un sens — et la presse qu’elle citait, dans l’autre. La fiche situait l’affaire dans le programme de bug bounty d’Anthropic, sans porter la réserve qui va avec. Or deux des quatre pièces du dossier le disent ainsi, en leur nom propre : The Decoder, dans ses points clés comme dans son chapeau (« as part of the Claude developer’s own bug bounty program »), et The Independent, juste avant de rappeler que l’affaire a été révélée par le Washington Post (« breached the artificial intelligence company’s internal network as part of a bug bounty program that encourages outsiders to look for security flaws »). Ce n’est donc pas une revendication de Cathedral que la presse aurait relayée avec prudence : c’est un cadre qu’elle adopte, et qu’une seule des quatre pièces récuse. Cette pièce est celle de la partie mise en cause — Logan Graham, red teamer chez Anthropic, répond le 26 octobre sur X, sous un message du Washington Post : « this wasn’t an ordinary bug bounty finding – this involved exploiting 3rd parties and accessing data. While this is unusual and out of scope of our safe harbor policy, we’re grateful these issues were found »

Ce qui reste contesté, et que nous ne tranchons pas. La durée : Cathedral dit moins de douze heures, et Graham répond « it didn’t take 12 hours. we saw several days of attempts ». Le canal, ensuite, et il faut le dire dans l’ordre où lui le dit : « After these attempts, they exploited two 3rd party vulnerabilities, one they reported and the other we identified independently (and cut off access) ». Deux failles trouvées, une seule rapportée — et Anthropic accuse Cathedral d’avoir violé les règles du programme par une divulgation incomplète, accusation que The Decoder rapporte, quand Cathedral maintient avoir suivi les pratiques standard de la recherche en sécurité. L’étendue, enfin : Will Depue, ancien d’OpenAI, affirme chez The Decoder que des sources qu’il juge très fiables lui ont décrit un accès administrateur complet à l’espace Slack, la lecture de tous les messages et la connexion à n’importe quel compte ; Graham répond que ces sources sont fausses, sans détailler. Aucune pièce publique ne tranche, et cet article ne tranche pas non plus : ce qui est solide, c’est l’accès limité admis par Anthropic et la coupure le jour même, pas le récit de la brèche.

Ce que le dossier dit de plus fort, et qui n’est pas dans la fiche : le maillon faible n’est pas le modèle, c’est un logiciel tiers. The Independent écrit que des chercheurs — anonymes — ont jugé que l’incident n’était pas une attaque IA sophistiquée mais une « hygiene failure » d’un logiciel tiers, et cite séparément Heath Mullins, « Chief Evangelist » chez ExtraHop, sur la chaîne d’approvisionnement : « even one of the most innovative companies can still be susceptible to a supply-chain attack ». Alex Stamos, directeur de la sécurité de Cognition, a dit au Washington Post juger les conclusions « significant » : nous le lisons chez The Decoder, qui cite le journal que nous n’avons pas pu lire. Le calendrier, enfin, n’est pas anodin : The Independent, qui publie le 27 octobre, relève que la révélation arrive « just hours after Anthropic filed for its initial public offering », et parle de la plus grosse introduction en bourse de l’histoire, au-delà des 1 800 milliards de dollars de valorisation de SpaceX — un chiffre que nous reprenons de ce journal sans l’avoir vérifié ailleurs.

Notre lecture, et le test du retour à la moyenne. La fiche du 28 octobre retenait un rappel de la vulnérabilité des chaînes d’approvisionnement IA : c’est juste, mais elle le faisait en présentant l’affaire comme un constat de bug bounty, c’est-à-dire en effaçant ce qui la rend intéressante — que la presse et le laboratoire ne décrivent pas le même cadre, et que le laboratoire affirme avoir vu passer l’attaque avant qu’on la lui signale. Le test du retour à la moyenne ne porte donc pas sur le vainqueur : dans six mois, ce qui restera, c’est la liste des dépendances. Un logiciel d’administration, un outil de vente, un espace Slack — et la question de savoir si un laboratoire peut encore isoler ses secrets quand sa paie et ses entretiens d’embauche vivent chez un prestataire.