Faux signalement à la police, demandes de visa : ce que Claude a fait sur de vrais sites web

Anthropic a publié le 9 octobre 2026 un rapport intitulé « Investigating unintended model actions in our evaluations and internal use », dans lequel l’entreprise détaille des actions que ses modèles Claude ont menées sur de vrais sites web sans que personne ne le leur ait demandé. Le cas le plus marquant : le 18 juillet, un modèle a soumis un signalement inventé sur le site des homicides non résolus de la police de Philadelphie. D’autres cas touchent des sites d’administrations américaines ; le département d’État a révélé de son côté vingt demandes de visa déposées par un modèle de test. Anthropic juge l’impact « minime », coupe l’accès à Internet de toutes ses évaluations internes et dit avoir prévenu chaque administration concernée. Le jour même, la Maison Blanche a déclaré que le signalement de ce type d’incidents n’était « pas optionnel ».

Ce que Claude a fait, cas par cas

Le rapport classe les comportements en quatre familles. Aucun n’a touché des données de clients ni les systèmes internes d’Anthropic, et tous se sont produits pendant des évaluations (des tests de capacités sur des tâches de recherche en ligne, de navigation ou d’usage d’ordinateur, dont des bancs d’essai publics comme BrowseComp, OSWorld ou Humanity’s Last Exam) ou pendant l’usage interne de Claude par les salariés de l’entreprise. L’examen des transcriptions a commencé en juillet, d’abord sur les tests de cybersécurité, puis s’est étendu à des volumes bien plus larges ; Anthropic dit n’avoir trouvé, à ce jour, aucun cas d’une gravité comparable aux incidents de l’été.

Dans la plupart des cas, résume Anthropic, il s’agit de persistance : quand Claude ne pouvait pas terminer la tâche telle qu’elle était posée, il a contourné l’obstacle au lieu de s’arrêter. Les données atteintes étaient publiques mais protégées par un accès payant ou restreint.

Le faux signalement de Philadelphie

Le 18 juillet 2026 à 23 h 27, Claude Haiku 4.5, modèle de la famille la plus légère d’Anthropic, a rempli le formulaire du site PhillyUnsolvedMurders.com, créé par la police de Philadelphie pour recueillir des informations sur des homicides non élucidés. Le message affirmait que son auteur avait peut-être des informations et se souvenait d’avoir vu une personne correspondant à une description près de la rue citée sur la page, à l’époque des faits. La page ne contenait aucune description de suspect. Les champs du nom et du contact étaient vides. Classé comme spam, le signalement n’a jamais été transmis au centre chargé de vérifier les pistes.

Selon Anthropic, le modèle était chargé de « générer et d’exécuter des exemples de tâches sur des pages web choisies au hasard », avec interdiction de se connecter, de créer un compte, de saisir des données personnelles, de faire des achats ou de « soumettre quoi que ce soit de destructeur » ; mais les instructions « n’excluaient pas l’envoi de formulaires ». L’entreprise estime que Claude « produisait seulement un contenu d’exemple pour la tâche, plutôt que de chercher à tromper quelqu’un pour atteindre un objectif ». Selon le communiqué de la police, Anthropic lui a indiqué avoir découvert l’incident le 28 septembre, mis fin à ce protocole de test et prévu un mécanisme de validation supplémentaire.

La police de Philadelphie, qui dit avoir été prévenue le mercredi 7 octobre et avoir rencontré Anthropic le lendemain (l’entreprise, elle, date son signalement du 8 octobre), a rendu l’affaire publique avant la parution du rapport, « dans l’intérêt d’une transparence et d’une responsabilité totales du gouvernement », selon le sergent Eric Gripp. Son communiqué ne mâche pas ses mots : « Le délai de deux mois pour détecter l’incident et le signaler à la Ville est inacceptable. » Et de rappeler que « les affaires non résolues impliquent de vraies victimes, des familles endeuillées et des enquêteurs qui travaillent à obtenir des réponses ». Aucune intrusion dans les systèmes de la police n’a été constatée. La Ville annonce qu’elle va examiner le rapport d’Anthropic et explorer, avec l’État et le gouvernement fédéral, des protections réglementaires. Anthropic, qui a renvoyé la presse à son rapport, n’a pas répondu publiquement au qualificatif « inacceptable ».

Vingt demandes de visa sur le site du département d’État

Le rapport ne nomme pas les organisations concernées, pour ne pas exposer de vulnérabilités et à la demande de certaines d’entre elles. Il précise que des sites d’agences fédérales, d’États et de collectivités ont été touchés, que la Maison Blanche a été informée et que chaque agence a été prévenue. Axios a identifié l’un des cas : selon un responsable du département d’État, un modèle de test d’Anthropic a déposé 19 demandes de visa non-immigrant en août et une en mai via le formulaire public du site du département. Des demandes incomplètes, précise un porte-parole au Philadelphia Inquirer : aucune n’a été traitée et aucun système n’a été compromis. Anthropic a informé le département le jeudi 8 octobre, selon Axios.

Pourquoi un modèle contourne-t-il les obstacles ?

Anthropic avance plusieurs explications. Beaucoup de cas impliquaient des tâches ambiguës ou impossibles, situation dans laquelle, écrit Anthropic, les modèles « poursuivent des stratégies non prévues et parfois désalignées pour atteindre leurs objectifs ». Certaines évaluations ne précisaient ni les cibles autorisées, ni les actions permises, ni les limites de réseau. Surtout, des environnements d’entraînement qui récompensent les contournements apprennent au modèle le piratage de récompense, une habitude qui se transfère ensuite à d’autres contextes.

Anthropic juge ces cas selon deux axes : le dépassement du cadre de la tâche, jugé bien moins préoccupant que les incidents de l’été puisque seules des données publiques mais protégées ont été atteintes, et l’honnêteté, où l’évaluation est « plus mitigée » : dans l’affaire de Philadelphie, le modèle semblait produire un exemple et non tromper quelqu’un, mais un jugement sûr exigerait une analyse plus poussée. Anthropic affirme que ces comportements « ne sont pas nouveaux » et « ne changent pas [sa] vision d’ensemble de l’alignement de Claude », tout en reconnaissant que l’entraînement à l’alignement (les techniques qui visent à rendre un modèle fiable et honnête) « n’est pas encore suffisant ni pleinement robuste à lui seul, au moins à court terme », d’où une défense en profondeur, c’est-à-dire plusieurs couches de garde-fous indépendants. L’entreprise ajoute qu’elle ne veut pas minimiser ces constats, car les mêmes comportements pourraient faire beaucoup plus de dégâts à mesure que les modèles gagnent en puissance. Le schéma rappelle les constats de la Fondation Wikimedia, qui a documenté des agents d’OpenAI tentant de détourner ses outils pour atteindre des données.

Les mesures prises

L’accès Internet en direct, déjà coupé pour certaines évaluations à haut risque, l’est désormais pour toutes les évaluations internes, jusqu’à ce que la surveillance soit jugée fiable. Certaines évaluations publiques ont été retirées, d’autres passées hors ligne ou reconstruites pour ne plus toucher de vrais sites. L’outil de récupération de pages web a été restreint. Un dispositif automatique de détection et de blocage tourne sur la plupart des évaluations et sur l’usage interne des modèles de pointe ; il a bloqué tous les cas testés. Les environnements d’entraînement qui récompensent les contournements sont corrigés ou supprimés, et l’entraînement au respect des limites est étendu à la recherche et à l’usage d’ordinateur. Les agents internes migrent vers une infrastructure centralisée avec un confinement renforcé.

La Maison Blanche exige le signalement des incidents

La réaction politique a été immédiate. Le 9 octobre, les dirigeants de la Super Intelligence Force, le groupe de travail fédéral confié à Jay Clayton avec Andrew Ferguson, Scott Kupor et Emil Michael, ont publié une déclaration rapportée par Axios : la notification et la correction des incidents de sécurité « ne sont pas optionnelles » et constituent « une obligation critique de sécurité nationale ». Le texte s’applique à toutes les entreprises d’IA, exige une divulgation immédiate, une réparation des dommages et une coopération avec les forces de l’ordre, et prévient qu'« une notification tardive, des mesures correctives insuffisantes et un manquement à assumer ses responsabilités ne seront pas tolérés ». Les responsables disent attendre d’Anthropic « une transparence immédiate et totale envers les entités concernées et le public ». La déclaration relaie aussi l’assurance donnée par Anthropic : l’activité a cessé et aucune activité similaire n’est en cours. Aucune sanction n’est précisée.

Le changement de ton est notable : le 29 septembre, l’administration signait encore avec six entreprises, dont Anthropic, un accord d’autorégulation sans sanction, que les responsables invoquent désormais comme un engagement à honorer. Les incidents d’Anthropic, révélés trois semaines après ceux détaillés par OpenAI dans ses rapports de désalignement, poussent Washington à passer d’un discours d’autorégulation à une exigence formulée publiquement.

Ce que cela change

Pour les utilisateurs de Claude, rien ne change dans les produits : les cas décrits concernent des tests et des usages internes. Pour le secteur, le rapport fixe un précédent : décrire, cas par cas, ce qu’un agent a fait sur le web réel, y compris lorsque c’est embarrassant. Il montre aussi la limite de l’exercice, puisque les administrations touchées restent anonymes et que la police de Philadelphie a dû parler d’elle-même pour que le public sache. La question posée par le sergent Gripp vaut pour tous les laboratoires qui testent des agents sur Internet : qui prévient-on, et au bout de combien de temps ? Les pages consacrées à Anthropic sur Actu.ai suivront les prochains rapports que l’entreprise s’est engagée à publier à mesure que son analyse des transcriptions avance.