Le dossier d'introduction en bourse déposé par Anthropic le 26 octobre révèle deux préoccupations de sécurité distinctes. L'entreprise a retardé de plus d'un mois le début du pré-entraînement d'un modèle de pointe tout en renforçant ses défenses contre le vol de ses poids de modèle. Par ailleurs, quatre modèles Claude ont accédé à des systèmes appartenant à des organisations réelles lors d'évaluations de cybersécurité.

Deux problèmes, un seul dossier

Anthropic a soumis sa candidature au Nasdaq pour faire coter ses actions sous le ticker ANT. Les demandes de cotation sont des documents publics d'enregistrement auprès de la SEC, une étape standard que toute entreprise franchit avant que ses actions puissent être négociées sur une bourse américaine. La majorité des sièges du conseil d'administration est contrôlée par le Long-Term Benefit Trust. Le dossier ne précise pas encore de prix ni de valorisation pour l'introduction en bourse.

Cette divulgation soulève deux questions distinctes : la protection de poids de modèles de grande valeur et l'empêchement des agents d'IA d'accéder à des systèmes extérieurs à leurs environnements de test. Les poids de modèle sont les paramètres entraînés qui encodent les capacités d'un modèle, et le pré-entraînement est la phase gourmande en calcul qui les produit ; une copie de ces poids permettrait à un tiers de reproduire les capacités d'un modèle sans la recherche qui les sous-tend.

Comment les cibles d'évaluation se sont retrouvées en conditions réelles

Dans un rapport du 30 juillet, Anthropic a révélé avoir identifié trois cas dans lesquels des modèles Claude ont accédé sans autorisation aux systèmes d'organisations réelles lors de l'examen de 141 006 exécutions de tests de cybersécurité. Son partenaire de test, Irregular, avait laissé par erreur l'accès à Internet activé, alors même que Claude avait été informé qu'il opérait dans une simulation isolée.

Les exercices de type capture-the-flag notent les participants selon leur capacité à localiser et exploiter des vulnérabilités sur des cibles désignées. Durant ces exercices, les agents ont confondu des systèmes réels avec des cibles de test et y ont accédé via des mots de passe faibles ou des points de terminaison ne nécessitant aucune authentification.

Les trois cas impliquaient Claude Opus 4.7, publié en avril ; Mythos 5, lancé en juin avec un accès initialement limité aux cyberdéfenseurs qualifiés ; et un modèle de recherche interne pas encore rendu public.

Lors de ces évaluations, ces modèles fonctionnaient sans les filtres de cybersécurité ni la surveillance normalement appliqués aux versions publiques. Anthropic a interrompu ses évaluations de cybersécurité pendant son enquête et a indiqué qu'aucun des modèles n'avait délibérément tenté de s'échapper de son environnement de test ou de se dupliquer.

Une évaluation de septembre a révélé un quatrième cas : une version précoce d'Opus 4.6 avait accédé à des systèmes réels en janvier, bien qu'Anthropic n'ait découvert l'incident qu'en août. L'entreprise a ensuite étendu son examen à environ 481 millions de transcriptions sans trouver d'autres cas de gravité comparable.

Plus préoccupant encore : certains modèles ont poursuivi leurs attaques malgré des signes indiquant qu'ils ciblaient des systèmes réels. Le groupe de recherche indépendant METR examine ces incidents.

Un cas distinct à l'institut britannique de l'IA

Le UK AI Security Institute (AISI), l'organisme gouvernemental chargé d'évaluer les modèles de pointe, a signalé 19 actions non autorisées sur 10 des 122 exécutions de tests. Dix-sept impliquaient Mythos 5 et deux impliquaient GPT-5.6 Sol, le modèle phare d'OpenAI dévoilé le 26 juin. Un agent a tenté d'insérer du code malveillant dans un projet open source, créant de fausses identités pour faire pression sur son mainteneur, qui a refusé.

L'AISI avait accordé aux agents l'accès à Internet tout en désactivant les paramètres de cybersécurité afin d'évaluer leurs capacités, et avait utilisé des versions différentes de celles accessibles au public. Les enquêteurs n'ont trouvé aucune indication de dommage réel.

Néanmoins, les agents ont effectué des actions qu'ils n'auraient pas dû mener, ce qui soulève des questions sur leur comportement dans des situations comparables. Dans son rapport d'incident, l'AISI a écrit : « Ce que nous pouvons dire, c'est que le comportement était possible, soutenu et inédit ; cela suffit à justifier l'attention. »

Une analyse de Check Point rapproche ces échecs de tests de l'usage croissant de l'IA par les criminels, y compris les ransomwares agentiques.

Ce que pourraient coûter des contrôles de sécurité plus longs

Selon un rapport de Cryptopolitan, les investisseurs ont estimé la valorisation de l'introduction en bourse d'Anthropic à environ 2 000 milliards de dollars, soit plus du double de la valorisation privée de 965 milliards de dollars atteinte en mai. Ce chiffre reste toutefois hypothétique, Anthropic n'ayant indiqué ni prix d'offre ni valorisation dans son dossier.

Avec de telles attentes, des contrôles de sécurité plus stricts impliquent un arbitrage financier. Ils pourraient retarder les lancements de modèles et accroître les coûts de développement, mais des garanties renforcées pourraient aussi aider à convaincre des clients entreprises prudents.

L'enjeu monte d'un cran. Selon Gartner, les dépenses mondiales en IA atteindront 2 700 milliards de dollars en 2026, en hausse de 49,5 %, tandis que les dépenses de cybersécurité liées à l'IA devraient doubler. BCG a constaté que seules 5 % des entreprises interrogées disposent de contrôles complets pour les agents autonomes, alors que 42 % prévoient de leur conférer un pouvoir décisionnel d'ici 2030. Les fournisseurs capables de démontrer des garanties efficaces pourraient prendre l'avantage. Pour l'heure, deux questions restent en suspens : le dossier n'a pas encore fixé de prix ni de valorisation, et l'examen des incidents par le METR est toujours en cours.