Des agents IA ont percé Anthropic : la faille venait d’un logiciel tiers

Anthropic fabrique des modèles d’IA que The Decoder qualifie de sans doute parmi les plus performants pour la cyberdéfense. Or des agents IA sont entrés dans ses systèmes internes, non par ses modèles, mais par un logiciel tiers. La question se pose : qui protège les protecteurs ?

Ce que revendique Cathedral

Selon The Decoder, la start-up de cybersécurité Cathedral a utilisé des agents IA pour pénétrer dans les systèmes internes d’Anthropic. Elle est passée par des logiciels professionnels tiers, des outils d’administration et de vente. Tout s’est déroulé dans le cadre du programme de bug bounty d’Anthropic : un dispositif où une entreprise rémunère des chercheurs qui lui signalent des failles.

Cathedral a décrit son accès dans un projet de rapport consulté par le Washington Post. D’après ce document, des agents IA reposant sur des modèles avancés ont trouvé en moins de douze heures des chemins vers des transcriptions de réunions, des données salariales, des offres d’emploi et des messages Slack.

La start-up vend des outils de sécurité fondés sur l’IA à des administrations et à des entreprises. Elle a été fondée par d’anciens employés du DOGE, l’agence américaine chargée de l’efficacité gouvernementale.

Ce qu’Anthropic confirme, ce qu’il conteste

Anthropic ne nie pas l’accès. L’entreprise reconnaît que les chercheurs ont atteint un ensemble limité de systèmes de vente, de ressources humaines et d’informatique. Cela incluait les coordonnées de certains clients et partenaires, ainsi que des données de base de comptes utilisateurs.

Elle affirme en revanche que les conversations avec Claude, le code source et les poids des modèles n’ont jamais été exposés. Elle dit avoir fermé les points d’accès concernés le jour même de la découverte, désactivé les programmes tiers jusqu’à résolution du problème et prévenu les autorités fédérales américaines.

Les deux camps divergent sur plusieurs points :

• La durée. Cathedral parle de moins de douze heures. Anthropic évoque une tentative étalée sur plusieurs jours.
• La méthode. Selon Logan Graham, membre de l’équipe red team (tests d’intrusion) d’Anthropic, Cathedral n’est passée aux logiciels tiers qu’après des jours à sonder les systèmes d’Anthropic eux-mêmes.
• La divulgation. Cathedral aurait trouvé deux failles, mais n’en aurait signalé qu’une. Anthropic dit avoir découvert et corrigé la seconde de son côté.
• Les règles du jeu. Anthropic accuse Cathedral d’avoir enfreint le règlement du programme par une divulgation incomplète. Logan Graham ajoute que viser des prestataires tiers et extraire des données dépassait la protection juridique offerte aux chercheurs (le « safe harbor »), tout en saluant la découverte des failles. Cathedral maintient avoir suivi les pratiques courantes de la recherche en sécurité.

Une profondeur d’intrusion encore disputée

Le désaccord central porte sur ce qui a réellement été lu. Will Depue, ancien d’OpenAI, affirme qu’Anthropic minimise l’incident. Selon plusieurs sources qu’il juge très fiables, Cathedral aurait obtenu un accès administrateur complet à l’espace Slack, pu lire tous les messages et se connecter à n’importe quel compte utilisateur.

Il ajoute que les laboratoires Anthropic et OpenAI stockaient tous leurs secrets de recherche dans Slack, avec des clés d’API d’administration éparpillées dans leurs systèmes. Jacob Coxon, ancien d’Anthropic parti en septembre 2026, avait déjà critiqué le fait de mener des recherches dangereuses en IA avec des outils de bureautique comme Slack.

Logan Graham répond que les sources de Will Depue se trompent. Il refuse de donner des détails, invoquant la sensibilité du sujet, mais reconnaît le fond de l’inquiétude : l’industrie doit réinventer sa sécurité chaque année. Will Depue réclame alors qu’Anthropic précise quelles affirmations sont fausses et publie ce que Cathedral a vraiment consulté. Il met enfin en cause la course à l’IA, où les dirigeants privilégieraient la vitesse sur la sécurité.

À ce stade, il faut distinguer trois niveaux d’information :

• Confirmé par Anthropic : un accès à des systèmes commerciaux, RH et informatiques, avec des données de contact et des comptes utilisateurs de base.
• Affirmé par Cathedral : un accès en moins de douze heures à des messages Slack, des données salariales et des transcriptions de réunions.
• Allégué, non vérifié dans les sources : un accès administrateur complet à Slack, rapporté par Will Depue d’après ses propres sources et contesté par Anthropic.

Le paradoxe du protecteur piraté

L’épisode intervient après des mois d’alertes d’Anthropic sur les cyberattaques assistées par IA, et après ses propres incidents de sécurité accidentels, rappelle The Decoder. Le média y voit un symbole : Anthropic est probablement l’entreprise la mieux armée pour se défendre contre des attaques menées par IA.

Logan Graham en tire une leçon. Selon lui, des attaquants font déjà tourner des agents IA en continu, en visant précisément les dépendances externes. Même des modèles en retard d’une demi-génération à une génération sur la frontière technologique suffiraient pour ces attaques, et les adversaires futurs disposeront de systèmes plus puissants.

Sa réponse : tester sa propre sécurité en permanence et reconstruire les logiciels avec de la vérification formelle, que l’IA rendrait désormais économiquement envisageable. « Vous voulez probablement vous attaquer vous-même en permanence. Les modèles actuels sont très créatifs », a-t-il écrit.

Une question reste sans réponse, souligne The Decoder : comment Cathedral a-t-elle pu aller aussi loin alors qu’Anthropic a accès à ce qui se fait de plus puissant en IA pour la cyberdéfense ? Logan Graham ne l’a pas abordée.

Le vrai maillon faible : la chaîne de fournisseurs

La leçon la plus utile n’est peut-être pas dans le modèle, mais autour. Alex Stamos, responsable de la sécurité chez Cognition, une start-up qui utilise les modèles d’Anthropic, a jugé les conclusions importantes. Il a dit au Washington Post que les applications tierces intégrées posent un problème majeur dans toute l’industrie, et qu’Anthropic aurait pu mieux sécuriser ses services externes.

Un laboratoire peut blinder ses modèles et ses serveurs. Si un outil de vente, d’administration ou de messagerie relié à ses données reste mal protégé, il devient la porte d’entrée. Les agents IA changent l’équation : ils sondent un réseau jour et nuit, pour un coût minime, rappelle The Decoder.

Et pour une PME qui empile des outils SaaS ?

Les sources ne parlent pas des PME. Mais la mécanique décrite leur ressemble : un CRM, une messagerie d’équipe, un outil RH, un logiciel de facturation, chacun connecté aux autres. Si Anthropic a été exposé par ses fournisseurs, une petite structure l’est probablement aussi.

Quelques questions concrètes à se poser :

• Quels logiciels tiers ont accès à nos données, et avec quels droits d’administration ?
• Où traînent des clés d’API ou des mots de passe partagés, par exemple dans une messagerie d’équipe ?
• Que se passerait-il si le compte administrateur de l’un de ces outils était compromis ?
• Qui a l’autorité de couper un outil tiers rapidement, comme Anthropic dit l’avoir fait le jour même ?

Aucune de ces vérifications ne demande un modèle d’IA de pointe. Elles demandent de cartographier ses dépendances. Reste le débat que l’affaire laisse ouvert : douze heures ou plusieurs jours, mais surtout un accès limité ou un accès administrateur complet à Slack. Tant qu’Anthropic ne détaille pas ce que Cathedral a vraiment consulté, chacun devra juger sur des versions contradictoires.

Sources

• AI agents hacked Anthropic, maker of arguably the most capable AI models for cyberdefense (The Decoder)