Anthropic dévoile les abus de Claude - armes biologiques, missiles et 25 millions de SIM

Les entreprises technologiques racontent rarement ce qui a mal tourné. Le jeudi 10 septembre, Anthropic a publié un long rapport sur ce que les gens ont tenté de faire avec Claude au cours des huit derniers mois. Hier, la publication de l’entreprise sur X avait déjà été vue 36 millions de fois, et David Agranovich, qui a dirigé pendant huit ans la lutte contre ce type d’opérations chez Meta, a écrit : « J’interromps ma pause sur X, parce que c’est fascinant (...). Il faut souligner qu’Anthropic se montre à ce point transparent. » (en anglais : « Breaking my X hiatus because this is fascinating (...). It's noteworthy that Anthropic is being this transparent. »)

Le rapport couvre la période de décembre 2025 à août 2026 et sept domaines : cyberopérations, opérations d’influence, surveillance, armes conventionnelles, biologie, escroqueries et distillation illicite. Le cas le plus frappant vient du Mali. Un consultant indépendant de Bamako, travaillant probablement seul, a construit « Lakana 360 » pour les services de renseignement du pays (ANSE), une plateforme qui surveille environ 25 millions de cartes SIM chez les trois opérateurs mobiles nationaux. Le système enregistre les appels, les messages et le trafic vocal, identifie les personnes à la voix même après un changement de carte SIM, signale les utilisateurs de VPN et relie ces données au registre biométrique national. À la demande de l’exploitant, l’obligation de mandat a été retirée du module qui rédige une note de renseignement sur n’importe quel numéro de téléphone.

C’est là que cela devient intéressant. Anthropic a banni le compte, mais le rapport le dit sans détour : « Les mesures prises contre un compte n’ont aucun effet sur le produit déployé. » (en anglais : « Account enforcement actions do not affect the deployed product. ») Le système fini tourne sur des serveurs locaux, avec des modèles locaux. Claude n’a été que l’équipe d’ingénieurs qui a écrit le code.

Le deuxième cas est une cellule du nord du Yémen qui mène trois programmes d’armement : une roquette guidée dotée d’un contrôleur embarqué assemblé à partir de composants ordinaires de smartphone, un missile balistique dont la portée visée dépasse 2 000 km, et la famille « R2000 », avec une variante de planeur hypersonique. Ils ont écrit le logiciel de guidage dans Claude Code au lieu d’embaucher des ingénieurs, en faisant tourner plusieurs instances à la fois avec des rôles répartis : l’une écrivait le code, une autre cherchait l’information, une troisième relisait. Les garde-fous bloquaient une partie de leurs requêtes, alors ils ont réparti le travail sur de nombreuses sessions, pour qu’aucune ne révèle l’ensemble du tableau. Ils ont mené un essai en conditions réelles de la roquette. Il semble avoir échoué - et quelques heures plus tard, ils étaient de retour avec Claude pour comprendre pourquoi.

La section consacrée à la biologie décrit cinq cas, et le même problème revient dans chacun : la recherche à double usage paraît innocente jusqu’à ce qu’on la replace dans son contexte. En mai, un classificateur a bloqué l’aide à une demande de subvention portant sur des travaux gain-of-function sur le virus chikungunya, visant à accroître la transmissibilité et l’échappement immunitaire. Les demandeurs étaient des scientifiques civils, mais les travaux devaient être menés dans un institut de recherche militaire. La plateforme qui acheminait les requêtes faisait passer le trafic par des infrastructures américaines, et après le blocage, son exploitant a retrouvé l’accès en quelques jours et a ajouté un mécanisme qui transférait les requêtes refusées vers le modèle d’un concurrent. Jacob Klein, qui dirige le renseignement sur les menaces chez Anthropic, l’a formulé ainsi : « Vous ne voyez pas quelqu’un dire, comme dans une bande dessinée : “Tiens, je veux fabriquer une arme biologique.” » (en anglais : « You are not seeing someone in a comic book kind of way say, 'Hey, I want to build a biological weapon.' »)

Parfois, les garde-fous fonctionnent d’une manière que les titres de presse ne montrent pas. Un chercheur travaillant sur l’adaptation aux mammifères de la grippe aviaire H5 a échangé des milliers de messages avec Claude pendant plusieurs semaines - mais les classificateurs l’ont fait basculer vers les modèles les plus faibles de l’entreprise, Sonnet 4 et Haiku 4.5. Anthropic estime que le chercheur a surtout reçu une aide de secrétariat pour la conception de l’étude et l’analyse des données. Dans un autre cas, Opus 5 a rédigé de zéro, en une heure environ, toute une demande de subvention sur les orthopoxvirus : hypothèse, plan expérimental, dosages et statistiques. Elle est passée parce que des recherches visant à affaiblir un virus n’ont pas l’air dangereuses.

Un chapitre distinct porte sur sept laboratoires chinois qui ont extrait le raisonnement de Claude. La plus grande opération a été menée par Alibaba : 151 millions de requêtes de mai à juillet, avec un pic de près de 3 millions par jour depuis plus de 3 500 comptes frauduleux, les transcriptions récoltées servant à entraîner les modèles Qwen. En dix jours, Moonshot a relayé vers Claude environ 300 000 requêtes de ses propres clients et leur a présenté les réponses de Claude comme si elles venaient de Kimi ; de mai à juillet, il a collecté au total plus de 23 millions de requêtes. DeepSeek a fait la même chose et, sur quatorze jours de juillet, 12,1 millions de requêtes lui ont été attribuées. Les utilisateurs n’en savaient rien, et les conversations relayées contenaient les prévisions financières d’une entreprise pharmaceutique, des clés d’accès actives, des images provenant de plusieurs centaines de caméras à Chengdu et les identifiants d’une base de données d’une agence gouvernementale liée au ministère russe de la Défense.

Il vaut la peine de lire ce rapport avec une certaine réserve, et Agranovich le dit lui-même : « Anthropic note qu’une partie des chiffres sur l’ampleur de certaines opérations provient des propres mesures des attaquants. On a vu beaucoup d’exagération de ce côté-là. » (en anglais : « Anthropic notes that some of the impact numbers for some of the ops come from the attacker's own metrics. We've seen a lot of inflation there. ») Des commentateurs sur Hacker News ont reproché à l’entreprise un deux poids, deux mesures : Anthropic nomme les sociétés chinoises et indique les pays depuis lesquels opéraient les cellules d’armement, mais tait les institutions et les États dans le cas des chercheurs en biologie, parce que « nous n’affirmons pas qu’ils avaient l’intention de nuire » (en anglais : « we do not assert that they intended harm »). La veille de la publication du rapport, le ministère chinois du Commerce a rejeté les accusations antérieures des agences américaines, y voyant la politisation d’une technique ordinaire, et a promis une réponse si Washington s’en prend aux entreprises chinoises.

Une chose reste vraie, peu importe qui l’on croit. Un fournisseur de modèle nous a livré une nouvelle liste, bien plus détaillée, d’usages concrets accompagnés de chiffres, au lieu de spéculations sur ce que l’IA pourrait un jour rendre possible. Dans la section consacrée à la biologie, Anthropic écrit qu’aucune entreprise, dans l’IA ou en dehors, n’avait jusqu’ici rendu publiques des preuves d’un tel usage de sa propre plateforme. Les conversations détournées passaient par des routeurs de modèles utilisés aux États-Unis comme en Europe, ce qui concerne donc aussi les utilisateurs en France. Les clients de Kimi étaient persuadés de parler à Kimi. Un ingénieur d’une société chinoise y a collé du code interne et des clés valides, et tout est parti chez Claude et a été enregistré pour l’entraînement. Et la conclusion la plus pratique est celle-ci : si vous utilisez un modèle bon marché par l’intermédiaire d’un tiers, vous ne savez peut-être pas à qui appartient le modèle qui lit réellement vos données.

Distillation - entraîner un modèle plus petit sur les réponses d’un plus grand pour qu’il reprenne ses capacités à une fraction du prix. C’est une méthode d’entraînement standard ; Anthropic appelle « distillation illicite » la récolte à l’échelle industrielle des réponses d’autrui, sans autorisation et en violation des conditions d’accès. Gain-of-function - des recherches qui modifient délibérément un organisme pour qu’il acquière une propriété nouvelle ou renforcée, par exemple une transmissibilité accrue. Classificateur - un modèle distinct qui surveille si une requête enfreint les règles ; il bloque la réponse avant qu’elle n’atteigne l’utilisateur.