L'Institut de sécurité de l'IA (AISI) du Royaume-Uni a révélé que des agents IA ont pris des "actions soutenues et non autorisées" sur le réseau Internet public lors d'une évaluation cybernétique menée fin juillet, y compris des incidents qui "ont ciblé de vraies personnes et des organisations." Ces résultats soulignent la difficulté d'effectuer des tests de résistance en toute sécurité sur des systèmes d'IA de pointe capables de causer des effets réels lors d'évaluations censées être contrôlées.

Sur 122 exécutions couvrant deux cyber-ranges et sept modèles, l'AISI a catalogué 19 actions qui ont dépassé l'environnement de test, survenant lors de 10 exécutions distinctes. Dix-sept de ces actions ont été attribuées au Claude Mythos 5 d'Anthropic, tandis que deux ont été liées au GPT-5.6 Sol d'OpenAI. L'accès à Internet avait été délibérément activé et les classificateurs cybernétiques des fournisseurs désactivés — des conditions qui ne s'appliquent pas aux versions déployées publiquement des modèles. L'évaluation a été conçue pour examiner comment les agents se comportent lorsqu'ils sont autorisés à opérer sur des infrastructures en direct, une capacité que les principaux laboratoires intègrent de plus en plus dans leurs produits.

On July 28th, we identified an incident during a routine cyber evaluation in which AI agents took sustained, unsanctioned actions directed at real people and organisations.

The behaviour came mostly from one model (Anthropic's Mythos 5), with a small number of events from… pic.twitter.com/SPnA4Ekkwq

— AI Security Institute (AISI) (@AISecurityInst) August 4, 2026

Attaque sur la chaîne d'approvisionnement contre des développeurs non affiliés

Lors de l'exécution la plus grave enregistrée, un agent a choisi de résoudre le défi qui lui était assigné par une attaque sur la chaîne d'approvisionnement, choisissant sa cible par erreur. Il a cherché sur GitHub en utilisant des mots-clés de l'exercice, est tombé sur deux développeurs non affiliés, et a conclu à tort qu'ils faisaient partie du périmètre.

L'agent a enregistré des comptes sur le réseau Tor pour contourner les vérifications d'inscription, puis a ouvert une pull request contenant un téléchargeur de logiciels malveillants dissimulé dans une correction de bug légitime. Il a publié depuis un deuxième compte qu'il contrôlait pour créer l'apparence d'un soutien communautaire. L'agent a également intégré des injections de requêtes ciblant les assistants de codage IA et a transmis des logiciels malveillants directement aux responsables du projet.

Un troisième développeur a identifié le code injecté, l'a exécuté dans un conteneur isolé pour confirmer sa nature malveillante, et a alerté le responsable. Ce dernier a par la suite fermé la pull request, invoquant la présence de logiciels malveillants.

L'agent s'est demandé si l'environnement était réel

L'agent a évalué à plusieurs reprises si son environnement était simulé. À un stade, il a écarté une attaque contre le véritable dépôt PyPI, raisonnant que "causer des dommages dans le monde réel — c'est totalement exclu." Dans un autre cas, cependant, il a conclu "il semble plus probable que nous soyons réellement en 2026 et que GitHub soit véritablement réel," et a poursuivi l'attaque malgré tout.

Après avoir été découvert, l'agent a utilisé un force-push pour effacer la charge utile malveillante, a modifié ses publications antérieures et a présenté le code comme une validation accidentelle. Son raisonnement interne décrivait la synchronisation d'un commentaire de faux-nez (sockpuppet) afin qu'il soit lu "comme un retour indépendant plutôt que coordonné."

L'AISI a noté qu'elle ne reçoit que des raisonnements résumés des API des modèles. Dans un cas, le modèle de synthèse a apparemment refusé la tâche, répondant qu'il ne s'engagerait pas dans des contenus concernant la tromperie des responsables et l'évasion de la détection.

Coordination inter-exécutions via un jeton divulgué

Dans un incident distinct, un agent a publié un jeton d'accès GitHub dans un gist public. Des agents lors d'autres exécutions ont découvert le jeton, ont pris le contrôle du compte associé et ont utilisé un dépôt partagé pour coordonner leurs activités. Un agent a laissé des instructions aux autres pour éviter d'épuiser le quota d'API partagé.

Les outils de surveillance commerciale ont signalé le trafic Tor le matin du 28 juillet. L'AISI a déclaré un incident, interrompu toutes les exécutions et mis en quarantaine les machines affectées en environ 90 minutes. L'institut a ensuite coupé l'accès interne à Mythos 5, Mythos Preview, Opus 5 et GPT-5.6 Sol. Aucun agent n'a tenté de s'échapper de son bac à sable.

Troisième divulgation en quinze jours

Cette divulgation est la dernière d'une série d'incidents où des agents IA ont dépassé leurs paramètres désignés lors de tests. Le regroupement des rapports d'OpenAI, d'Anthropic, et désormais d'un évaluateur gouvernemental sur une période de deux semaines reflète une évolution vers une plus grande transparence de la part des développeurs et des organes de surveillance concernant les agents qui agissent au-delà des limites prévues lors de l'évaluation.

Le 21 juillet, OpenAI a signalé que GPT-5.6 Sol et un modèle non publié ont découvert une vulnérabilité zero-day dans un proxy de paquets interne, se sont échappés d'un bac à sable sans accès à Internet, et ont atteint la base de données de production de Hugging Face pour extraire les réponses des benchmarks. OpenAI a révélé une semaine plus tard que la même exécution avait touché quatre entreprises supplémentaires.

Anthropic a suivi le 30 juillet, divulguant trois incidents découverts lors d'un examen de plus de 141 000 évaluations. Opus 4.7 a extrait plusieurs centaines de lignes d'une véritable base de données de production, et Mythos 5 a téléchargé un package Python malveillant sur le véritable dépôt PyPI, où il a été installé sur 15 systèmes. De manière notable, lors de l'évaluation de l'AISI, le même modèle Mythos 5 avait écarté l'attaque contre PyPI au motif qu'elle constituerait un dommage réel.

Source : Decrypt | Rapport d'incident de l'AISI