La start-up de cybersécurité Cathedral affirme que les agents IA qu’elle a déployés ont trouvé un moyen d’accéder aux systèmes internes d’Anthropic via des logiciels tiers. Anthropic a confirmé que des chercheurs avaient accédé à un nombre limité de systèmes de vente, de ressources humaines et informatiques, notamment aux coordonnées de certains clients et partenaires ainsi qu’à des données de compte élémentaires.
Anthropic affirme que la fuite n’a pas exposé les conversations avec Claude, le code source ni les poids des modèles. Le jour où elle a découvert l’incident, l’entreprise a bloqué les points d’accès concernés, désactivé les programmes tiers pendant qu’elle s’occupait du problème et prévenu les autorités fédérales américaines. Elle n’a pas précisé publiquement quels dossiers les chercheurs avaient consultés ni combien de personnes étaient concernées.
Cathedral vend des outils de sécurité reposant sur l’IA à des entreprises et à des administrations. Dans un projet de rapport consulté par The Washington Post, ses chercheurs affirment que leurs agents ont accédé en moins de 12 heures à des contenus comprenant des transcriptions de réunions, des informations salariales, des offres d’emploi et des messages Slack. Ces affirmations contrastent avec le récit plus limité d’Anthropic sur les données consultées ; les deux parties ne s’accordent ni sur la durée ni sur l’ampleur de l’incident.
Les points de désaccord
Cathedral affirme que l’incident a duré moins de 12 heures. Anthropic dit que l’opération dans son ensemble s’est étendue sur plusieurs jours : son responsable de l’équipe rouge, Logan Graham, a déclaré que les chercheurs avaient passé plusieurs jours à sonder les systèmes d’Anthropic avant de se tourner vers des logiciels tiers. Selon Anthropic, Cathedral y a découvert deux failles, mais n’en a signalé qu’une ; l’entreprise affirme avoir découvert et corrigé l’autre de son côté.
Anthropic affirme également que les agissements de Cathedral ont enfreint les règles de son programme de chasse aux bogues, qui rémunère ou récompense les chercheurs signalant des failles de sécurité. Graham a déclaré que le ciblage de prestataires tiers et l’extraction de données dépassaient les protections prévues par la clause de non-poursuite du programme. Cathedral maintient avoir suivi les pratiques habituelles de recherche en sécurité. Graham s’est félicité de la découverte des failles, mais a refusé de donner davantage de détails sur les éléments consultés, invoquant la sensibilité du dossier.
Les affirmations les plus alarmantes restent contestées. Will Depue, ancien employé d’OpenAI, a déclaré que des sources qu’il jugeait fiables lui avaient indiqué que Cathedral disposait d’un accès administrateur complet à l’espace de travail Slack d’Anthropic, pouvait lire tous les messages et se connecter en se faisant passer pour n’importe quel utilisateur. Graham a affirmé que les sources de Depue se trompaient. Anthropic n’a pas publié de bilan permettant de trancher le désaccord ; ces affirmations ne doivent donc pas être considérées comme des faits confirmés.
Comment en est-on arrivé là ?
Le point d’entrée signalé n’était pas Claude lui-même, mais des logiciels externes de vente et d’administration connectés à Anthropic. La distinction est importante : l’entreprise affirme que ses conversations avec l’IA et ses actifs liés aux modèles sont restés intacts, même si l’incident a exposé certains systèmes et informations internes. Alex Stamos, responsable de la sécurité chez Cognition, une entreprise d’IA, a déclaré à The Washington Post que les applications tierces intégrées constituent un problème majeur dans tout le secteur et qu’Anthropic aurait pu mieux sécuriser ses services externes.
L’incident montre aussi que les outils de test de sécurité peuvent servir à repérer rapidement des faiblesses. Graham a déclaré que des attaquants font déjà fonctionner des agents IA en continu et ciblent des dépendances externes, et que des systèmes bien moins avancés que les modèles les plus récents peuvent tout de même être suffisamment performants pour ce type de tâche. Il s’agit de son analyse, et non d’une preuve que tous les agents IA peuvent pénétrer le réseau d’une entreprise. Le récit de Cathedral décrit une opération précise qui a permis de découvrir des failles dans des logiciels professionnels connectés.
La suite
Anthropic affirme avoir désactivé les programmes tiers concernés jusqu’à la résolution du problème et corrigé la faille qu’elle avait elle-même découverte. L’entreprise n’a pas publié de bilan détaillé de l’ensemble des dossiers consultés par Cathedral, et les versions contradictoires de l’incident n’ont pas été départagées. The Decoder rapporte que la mesure proposée par Graham consiste à mener en continu des tests d’intrusion internes — des tentatives autorisées de détection des failles — et à reconstruire les logiciels en recourant à la vérification formelle, une méthode qui permet de contrôler qu’un logiciel respecte des règles définies.
Pour les autres entreprises, la leçon pratique consiste à examiner les services externes connectés aux systèmes internes, et pas seulement la sécurité de leurs propres produits. Toutefois, les informations disponibles ne permettent pas de savoir si les découvertes de Cathedral révèlent une faille commune à certains fournisseurs ou une configuration propre à Anthropic. Elles ne prouvent pas non plus que des données clients autres que des coordonnées ont été consultées.
Pourquoi c'est important
Pour les entreprises qui relient des applications de vente, de RH ou d’autres fonctions professionnelles à leurs systèmes internes, l’incident rappelle que ces connexions peuvent exposer des données même si le produit d’IA principal n’est pas compromis. Anthropic affirme que les conversations avec Claude et les actifs liés aux modèles n’ont pas été consultés, mais confirme que certaines informations professionnelles l’ont été. L’ampleur de l’accès reste contestée, et Anthropic n’a pas précisé publiquement quels dossiers ont été consultés.
