Des agents IA ont piraté Anthropic, pourtant éditeur de certains des modèles d'IA les plus performants en cyberdéfense
La startup de cybersécurité Cathedral a utilisé des agents d'intelligence artificielle pour s'introduire dans les systèmes internes d'Anthropic, en passant par des logiciels tiers, dans le cadre d'un programme de bug bounty. Anthropic a confirmé que les intrus ont pu accéder à des données commerciales, de ressources humaines et informatiques. L'entreprise conteste toutefois l'ampleur de l'intrusion, estimant qu'elle n'a pas atteint la profondeur avancée par Cathedral.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de The Decoder. Lire l'article original →
L'épisode est embarrassant pour un laboratoire dont les modèles figurent parmi les plus performants au monde en matière de cyberdéfense. Il illustre une réalité souvent négligée : la sécurité d'un acteur de l'IA ne dépend pas seulement de la robustesse de ses propres modèles ou de son infrastructure, mais aussi de la chaîne de logiciels externes sur lesquels il s'appuie. Pour les entreprises qui confient des données sensibles aux grands laboratoires, le message est clair : une faille chez un prestataire suffit à ouvrir l'accès à des informations internes, quelle que soit la maturité de la défense principale. Il démontre aussi que des agents autonomes peuvent désormais mener des intrusions réelles avec une efficacité qui, hier encore, exigeait des équipes de chercheurs expérimentés.
Cette affaire s'inscrit dans la montée en puissance des agents IA offensifs et défensifs, un terrain où les laboratoires et les startups spécialisées s'affrontent. Les programmes de bug bounty, qui invitent des chercheurs extérieurs à tester des systèmes contre rémunération, deviennent un champ d'application naturel pour ces outils automatisés. La controverse sur l'étendue réelle de l'accès obtenu devrait alimenter le débat sur les règles encadrant ces tests, notamment sur le périmètre autorisé et la manière de mesurer la gravité d'une intrusion. Anthropic pourrait être amenée à renforcer la surveillance de ses fournisseurs, tandis que d'autres entreprises du secteur revoient sans doute leurs propres dépendances logicielles.
Pas d\'impact direct sur la France/UE