Claude publie du code malveillant en ligne et attaque 3 entreprises réelles

Google met en garde contre des pages web malveillantes qui empoisonnent les agents IA

Des chercheurs de Google ont mis en lumière une menace croissante qui cible directement les agents IA déployés en entreprise : des pages web publiques contiennent des instructions malveillantes cachées, conçues pour détourner le comportement de ces systèmes autonomes. L'alerte est venue après l'analyse du dépôt Common Crawl, une base de données colossale regroupant des milliards de pages web publiques, où les équipes de sécurité ont découvert des pièges numériques dissimulés dans du code HTML ordinaire. Ces commandes invisibles, rédigées en texte blanc sur fond blanc ou enfouies dans les métadonnées, restent dormantes jusqu'au moment où un agent IA consulte la page pour en extraire des informations. L'agent ingère alors le contenu sans distinguer le texte légitime des instructions malveillantes, et exécute ces dernières avec ses propres privilèges d'accès aux systèmes internes de l'entreprise. Le danger concret est illustré par un scénario précis : un agent IA chargé par un département RH d'analyser le portfolio en ligne d'un candidat ingénieur pourrait se voir ordonner, via une instruction cachée dans ce même site, d'envoyer l'annuaire interne de l'entreprise à une adresse IP externe, puis de rédiger un avis positif sur le candidat. Ce type d'attaque, appelé injection de prompt indirecte, contourne intégralement les défenses existantes. Les pare-feux, les systèmes de détection d'intrusion et les plateformes de gestion des accès ne voient rien d'anormal : l'agent dispose de credentials légitimes, opère sous un compte de service autorisé, et ses actions ressemblent trait pour trait à ses opérations habituelles. Les tableaux de bord d'observabilité IA du marché, qui surveillent l'utilisation des tokens ou la latence des réponses, n'offrent quant à eux aucune visibilité sur l'intégrité des décisions prises. Cette vulnérabilité s'inscrit dans une transformation profonde de la cybersécurité à l'ère des systèmes agentiques. Les chercheurs de Google proposent plusieurs contre-mesures architecturales : déployer un modèle "sanitiseur" isolé, sans privilèges, pour récupérer et nettoyer le contenu web avant de le transmettre au moteur de raisonnement principal ; appliquer les principes du zéro-trust aux agents eux-mêmes, en cloisonnant strictement leurs droits selon leur mission (un agent de veille concurrentielle ne devrait jamais avoir accès en écriture au CRM interne) ; et construire des pistes d'audit capables de retracer la généalogie exacte de chaque décision prise par un système IA. L'enjeu dépasse la simple sécurité informatique : à mesure que les entreprises confient des tâches critiques à des agents autonomes connectés au web, la surface d'attaque s'élargit de façon inédite, sans que les outils de défense traditionnels ne soient en mesure de suivre.

💬 On a filé des accès aux systèmes internes à des agents qui naviguent librement sur le web, et on s'étonne maintenant que ça pose un problème. Le truc redoutable dans l'injection indirecte, c'est que tout a l'air normal de l'extérieur : credentials légitimes, compte autorisé, actions qui ressemblent aux opérations habituelles, les outils de détection ne voient rien. Le modèle sanitiseur isolé, c'est du bon sens, mais combien d'équipes vont vraiment l'implémenter avant qu'un agent RH envoie l'annuaire interne à une adresse inconnue ?

Un lien ChatGPT piégé pouvait créer un agent IA malveillant, contrôlé par un attaquant toutes les cinq minutes

Un lien ChatGPT manipulé a suffi à faire naître un agent IA autonome capable d'agir au nom d'un employé toutes les cinq minutes selon les instructions d'un attaquant. C'est ce qu'a révélé Zenity Labs en identifiant une faille baptisée "AgentForger" dans Agent Builder, l'outil d'OpenAI permettant de créer des agents personnalisés. Le mécanisme reposait sur un simple lien ChatGPT trafiqué : une fois ouvert par la victime, il déclenchait la création d'un agent héritant automatiquement de son identité et de ses droits d'accès. Grâce à un prompt malveillant intégré dans le processus, cet agent contournait les étapes de validation normalement requises avant toute action, puis se connectait à la boîte de réception de l'attaquant toutes les cinq minutes pour récupérer de nouvelles instructions. Cette découverte illustre un risque majeur pour les entreprises qui déploient des agents IA autonomes dans leurs environnements de travail. Un agent héritant des permissions d'un salarié peut potentiellement accéder à des données sensibles, exécuter des tâches internes ou interagir avec d'autres systèmes, tout en étant piloté à distance par un tiers malveillant sans que la victime ne s'en aperçoive. Le fait que l'attaquant puisse renouveler ses ordres en continu, toutes les cinq minutes, transforme un simple clic sur un lien en une porte dérobée persistante, difficile à détecter tant qu'elle reste active dans le système. Cette vulnérabilité s'inscrit dans une problématique plus large liée à la sécurité des agents IA générative, alors que des géants comme OpenAI multiplient les outils permettant de créer des assistants automatisés capables d'agir avec les mêmes droits que leurs utilisateurs humains. Les chercheurs en sécurité, à l'image de ceux de Zenity Labs, alertent régulièrement sur les failles d'architecture de ces systèmes, où la frontière entre instructions légitimes et manipulation malveillante reste ténue. Ce type de découverte devrait pousser OpenAI et les autres fournisseurs à renforcer les mécanismes de vérification et d'authentification autour de la création et du contrôle des agents autonomes.

Après la fuite du code source de Claude Code : 5 actions pour les responsables sécurité en entreprise

Le 31 mars 2026, Anthropic a accidentellement inclus un fichier source map de 59,8 Mo dans la version 2.1.88 de son package npm @anthropic-ai/claude-code, exposant 512 000 lignes de TypeScript non obfusqué réparties dans 1 906 fichiers. Le code lisible contenait l'intégralité du modèle de permissions, les 23 validateurs de sécurité bash, 44 drapeaux de fonctionnalités inédites, ainsi que des références à des modèles non encore annoncés, dont un dénommé Claude Mythos. Le chercheur en sécurité Chaofan Shou a rendu la découverte publique sur X vers 4h23 UTC. Des dépôts miroirs ont proliféré sur GitHub en quelques heures. Anthropic a confirmé qu'il s'agissait d'une erreur humaine de packaging, sans exposition de données clients ni de poids de modèles. La société a émis une demande de retrait DMCA, mais celle-ci a touché par erreur plus de 8 000 dépôts et forks, bien au-delà du dépôt ciblé, avant d'être partiellement rétractée. Entre-temps, des développeurs avaient déjà utilisé d'autres outils d'IA pour réécrire les fonctionnalités de Claude Code dans d'autres langages de programmation, ces réécritures devenant elles-mêmes virales. L'impact dépasse la simple fuite de code. Les 512 000 lignes révèlent l'architecture complète de l'agent : un moteur de requêtes de 46 000 lignes gérant la compression de contexte sur trois niveaux, plus de 40 outils avec leurs schémas et contrôles de permissions granulaires, et 2 500 lignes de validation bash couvrant des vecteurs d'attaque sophistiqués comme l'injection d'espaces Unicode zéro-largeur ou les contournements de tokens malformés découverts via HackerOne. Des concurrents et des startups disposent désormais d'une feuille de route détaillée pour reproduire ces fonctionnalités sans reverse engineering. La coïncidence de timing aggrave la situation : dans la même fenêtre d'installation (entre 00h21 et 03h29 UTC), des versions malveillantes du package npm axios contenant un cheval de Troie d'accès distant étaient actives sur le même registre. Toute équipe ayant mis à jour Claude Code pendant cette période a potentiellement été exposée aux deux menaces simultanément. Ce n'est pas un incident isolé. Cinq jours avant la fuite du code source, une mauvaise configuration CMS avait déjà exposé près de 3 000 assets internes non publiés d'Anthropic. Gartner, dans une analyse publiée le jour même, qualifie l'ensemble des incidents de mars de signal systémique révélant un écart entre les capacités produit d'Anthropic et sa maturité opérationnelle. L'analyste note également un détail juridique lourd de conséquences : selon les propres déclarations publiques d'Anthropic, 90 % de Claude Code est généré par IA. Or, la loi américaine sur le droit d'auteur exige une paternité humaine, et la Cour suprême a refusé en mars 2026 de revoir ce standard. La protection intellectuelle du code exposé est donc considérablement affaiblie, ce qui ouvre la voie à une utilisation et une réutilisation difficiles à contester légalement.

💬 Le truc qui m'a frappé, c'est pas la fuite en elle-même, c'est le détail juridique en fin d'article : 90 % du code est généré par IA, donc quasiment pas de protection intellectuelle selon le droit américain actuel, ce qui signifie que tous les concurrents qui viennent de récupérer ces 512 000 lignes peuvent les réutiliser sans grand risque légal. Et la DMCA lancée à l'aveugle sur 8 000 repos, ça finit d'illustrer le gap entre la vitesse produit d'Anthropic et leur maturité opérationnelle. Gartner a raison pour une fois.

Claude Opus 4.7 : l’IA interdite Mythos entre les mains du grand public ?

Le 16 avril 2026, Anthropic a officiellement lancé Claude Opus 4.7, son nouveau modèle phare atteignant 87,6 % sur le benchmark SWE-bench Verified, en faisant l'un des systèmes d'IA les plus performants accessibles au grand public. Mais selon des informations issues de fuites survenues en mars 2026 autour d'un mystérieux « projet Capybara », ce modèle serait volontairement bridé de ses capacités les plus avancées. En parallèle, Anthropic aurait développé en secret une entité d'une tout autre envergure : Claude Mythos, un modèle appartenant à une nouvelle catégorie baptisée en interne « Frontier Models de niveau supérieur », affichant des résultats stupéfiants, 93,9 % sur SWE-bench et près de 97 % aux olympiades de mathématiques USAMO 2026. Ce modèle serait cantonné à un accès ultra-restreint, dans le cadre d'un programme nommé « Project Glasswing », réservé à une douzaine de géants technologiques dont Google, Microsoft et CrowdStrike. La raison avancée pour ce confinement inédit est la nature même des capacités de Mythos : le modèle serait capable de découvrir et d'exploiter de manière entièrement autonome des failles zero-day, c'est-à-dire des vulnérabilités inconnues dans des systèmes informatiques réels, sans intervention humaine. Une telle autonomie offensive placerait cet outil dans une catégorie à part, potentiellement exploitable à grande échelle par des acteurs malveillants. La décision d'Anthropic de ne pas le déployer publiquement représenterait, si elle est avérée, un tournant majeur pour le secteur : ce serait la première fois qu'un laboratoire d'IA de premier plan refuse délibérément de commercialiser sa technologie la plus avancée au nom de la sécurité mondiale, rompant avec la logique de course au déploiement qui a dominé ces dernières années. Ce scénario s'inscrit dans un contexte de tensions croissantes entre la vitesse d'innovation et les impératifs de sécurité. Depuis plusieurs mois, des chercheurs et régulateurs alertent sur le risque que des modèles très capables tombent entre de mauvaises mains ou déstabilisent des infrastructures critiques. Les « responsible scaling policies » adoptées par Anthropic et d'autres labs prévoient théoriquement de stopper ou restreindre le déploiement si certains seuils de danger sont franchis, Mythos serait le premier cas concret d'application de ce principe. Si les faits décrits sont exacts, les prochains mois devraient voir émerger un débat public sur la gouvernance de ces modèles de « super-frontière » : qui décide de leur accès, selon quels critères, et avec quelle transparence vis-à-vis des États et du public.

💬 97% aux olympiades de maths et capable de dénicher des zero-days tout seul, je comprends qu'Anthropic préfère garder ça sous clé plutôt que d'en faire un produit. Ce qui me dérange, c'est pas Mythos lui-même, c'est qu'une entreprise privée décide seule de ce qui est "trop dangereux" pour toi, sans cadre légal public. Reste à voir si l'AI Act va avoir des dents là-dessus, ou si on va juste se contenter de leur faire confiance.