Huit mois de détournements de l'IA : ce que documentent 154 pages

Nous passons nos journées avec un agent de code ouvert dans un terminal, à lui faire écrire des scripts de déploiement et à lui faire relire des configurations. Un étudiant de licence à Changsha, en pleine candidature chez un éditeur de sécurité chinois, faisait exactement la même chose pour produire des exploits contre des pare-feu. Un consultant de Bamako s'en servait pour bâtir un système d'écoute à l'échelle d'un pays. C'est le même outil ; ce qui change, ce sont les mains et ce que les garde-fous laissent passer. C'est la matière du rapport de renseignement sur les menaces qu'Anthropic a publié le 10 septembre 2026.

Nous avons lu les 154 pages du document. Il prolonge ce que nous décrivions début septembre sur l'IA offensive, mais il change de nature : ce ne sont plus deux ou trois cas emblématiques, c'est un inventaire. Cet article ouvre une série de dix, un par jour jusqu'au 19 septembre, thème par thème. Aujourd'hui : la vue d'ensemble, le cadre d'analyse revendiqué par l'éditeur, un cas chiffré par famille, et les limites du document.

Ce que couvre le document #

Le rapport porte sur des opérations détectées et interrompues entre décembre 2025 et août 2026, réparties en sept familles. Anthropic désigne chaque acteur par un identifiant interne (GTG, pour Generative Threat Group) et précise d'emblée que ces cas ne sont pas représentatifs de l'usage moyen. Voici, par famille, le cas le mieux documenté - sans aucun indicateur technique de compromission.

• Cyber - GTG-20006, espionnage russe. Attribution cohérente avec Midnight Blizzard, plus de vingt organisations visées en Ukraine et en Europe. Chez une autorité gouvernementale nord-africaine : plus de 300 000 enregistrements d'identité nationale et le registre commercial de plus d'un demi-million d'entreprises.
• Influence - GTG-54002. Environ soixante-dix faux sites d'information, 8 913 articles en une vingtaine de langues, plus de deux cent cinquante comptes de commentaires artificiels. Le rapport relie le réseau à LKM Company, agence de publicité numérique basée en France, qui changeait de camp politique selon le client payeur.
• Surveillance - GTG-50027, le Mali. Un consultant de Bamako a bâti pour le renseignement d'État une plateforme couvrant environ 25 millions de cartes SIM sur les trois opérateurs du pays. L'exigence de mandat judiciaire a été retirée à la demande de l'opérateur.
• Armes conventionnelles - GTG-87001, le Yémen. Une cellule a utilisé Claude Code à la place d'ingénieurs pour le guidage d'une roquette, d'un missile balistique visant plus de 2 000 km et d'un planeur hypersonique, avec plusieurs instances en parallèle : une pour coder, une pour chercher, une pour relire. Un tir d'essai a échoué ; ils sont revenus dans les heures suivantes.
• Biologie - un relais de revendeur. Un compte anonymisé servait en réalité plus d'une douzaine de clients sans lien entre eux. L'un d'eux a fait rédiger, sur Opus 5 et en une heure environ, une demande de financement complète sur l'évasion immunitaire des orthopoxvirus.
• Arnaques - GTG-15001. Un studio chinois a monté plus de vingt applications de rencontre vendues comme entièrement humaines. En deux semaines d'avril 2026 : plus de 4 700 personnages artificiels, au moins 25 000 personnes réelles, 2,36 millions de messages.
• Distillation - GTG-16005, Alibaba. La plus grosse campagne jamais mesurée par l'éditeur, visant les traces de raisonnement d'Opus 4.6 et 4.7 : des pointes de près de 3 millions d'échanges par jour, plus de 151 millions d'échanges entre mai et juillet 2026.

Point commun des sept : aucun n'a demandé de compétence rare. Un consultant, un studio d'applications, deux étudiants, une agence de publicité. Ce qui manquait autrefois - ingénieurs, traducteurs, analystes - tient dans un abonnement.

Ce qui est nouveau depuis les rapports de 2025 #

Anthropic en a publié trois en 2025, en mars, en août et en novembre. Le modèle opératoire d'attaque autonome décrit en novembre 2025 pour une seule campagne étatique présumée s'est répandu à toutes les classes d'acteurs examinées depuis. Deux familles entières apparaissent : les armes conventionnelles et la biologie, sur laquelle l'éditeur affirme qu'aucune entreprise n'avait publié jusqu'ici d'éléments concrets de mésusage de sa propre plateforme. Enfin, le premier rapport décrivait un seul réseau commercial d'influence sous-traitée ; celui-ci en documente neuf.

Comment Anthropic mesure : vitesse, échelle, profondeur #

Anthropic appelle uplift le gain apporté par l'IA, c'est-à-dire la quantité de dommage supplémentaire causée avec l'IA par rapport à sans, et l'observe sous trois angles : la vitesse, l'échelle et la profondeur. Suit un avertissement que la plupart des commentaires ont ignoré. Beaucoup se focalisent sur le risque de voir l'IA produire des exploits en série ; c'est un danger réel, mais le risque est plus prononcé sur toute la chaîne d'attaque, où les adversaires opèrent plus vite, sur une surface plus large et plus profonde, avec moins de ressources. Pour une PME, la menace ne se règle donc pas par un pare-feu mieux à jour, mais par ce qu'un attaquant peut faire une fois entré.

Trois constats traversent tout le rapport #

1. La sophistication n'est plus un indice #

Pendant vingt ans, la qualité technique d'une intrusion servait à deviner qui la menait : un État avait des moyens, un individu isolé n'en avait pas. Ce raccourci est mort. Le rapport le dit sans détour : un hacktiviste seul travaillant sur des clés d'API volées, un groupe de criminels financièrement motivés et un opérateur d'espionnage étatique ont mené, chacun de son côté, des campagnes multi-victimes qui auraient exigé une équipe d'opérateurs qualifiés il y a encore un an. « Ce qui distingue désormais ces classes d'acteurs, ce n'est plus la sophistication, c'est l'intention. »

La formulation la plus directe s'adresse aux enquêteurs : la sophistication a cessé d'être un signal fiable de qui se trouve derrière une opération. La raison est industrielle. Des cadres d'agents offensifs publics, dont le rapport cite nommément PentAGI, reproduisent l'essentiel du montage pour quiconque les télécharge, et deux des acteurs décrits tournaient dessus. D'où la consigne d'Anthropic : les capacités décrites doivent être supposées disponibles pour tout acteur motivé. La technicité est téléchargeable.

2. L'IA est passée d'assistant à chef d'orchestre #

La fin du chapitre cyber décrit un spectre d'autonomie, exemples nommés à l'appui. À une extrémité, l'usage est conversationnel : le modèle sert d'assistant d'ingénierie pour écrire un logiciel malveillant ou un kit d'hameçonnage. Plus loin, il exécute - commandes contre les systèmes de la victime, récolte d'identifiants, exfiltration - pendant qu'un humain prend chaque décision de ciblage ; c'est le cas de l'acteur d'espionnage russe. À l'autre bout, des cadres multi-agents mènent reconnaissance, exploitation et vol contre plusieurs victimes en parallèle, pendant des heures ou des jours, chez les affiliés de ShinyHunters et chez le hacktiviste francophone. Plus loin encore : une flotte de treize agents de collecte sur une simple tâche planifiée, sans aucune intervention humaine.

3. Le coût a changé de camp #

Historiquement, un défenseur qui publiait une signature de détection imposait un coût à l'attaquant : celui-ci devait refaire son outil. Dans le cas d'espionnage russe, des agents surveillaient en continu si les implants étaient détectés par les produits de sécurité et, le cas échéant, les reconstruisaient tout seuls jusqu'à repasser sous les radars. Anthropic écrit que « l'IA a renversé le coût sur le défenseur » : un adversaire capable boucle ce cycle plus vite que l'industrie ne publie ses détections.

Le rapport formule ensuite l'argument en termes économiques, et c'est le passage à lire deux fois. L'autonomie comprime le côté coût du calcul de rentabilité de l'attaquant : elle abaisse le seuil de compétence et la quantité de travail par campagne, sans changer le gain potentiel. Ce déplacement rend viables des cibles auparavant marginales et encourage des opérations à plus fort volume et à moindre contact. La cible marginale, c'est le cabinet comptable de douze personnes ou la collectivité de deux mille habitants. Le moindre contact, c'est l'attaque qui entre, vide et sort - les profils que nous croisons en infogérance de PME alsaciennes.

« La sécurité par l'obscurité n'est plus viable » #

Avec l'IA, des environnements cibles variés deviennent triviaux à comprendre et à investir ; des configurations uniques et obscures sont rendues claires et exploitables. Le vieil adage de la « sécurité par l'obscurité » n'est plus viable dans ce nouveau monde assisté par l'IA : tout ce qui est connecté à Internet est une cible potentielle d'exploitation.

La phrase vise un réflexe de défense très répandu. Le progiciel métier écrit sur mesure en 2009, l'ERP dont plus personne ne connaît la logique interne, l'automate piloté par un protocole maison : tous protégeaient par le seul fait qu'un attaquant devait d'abord apprendre le système, ce qui prenait des jours et n'était rentable que face à un butin conséquent. Un modèle lit la documentation, les messages d'erreur et le code décompilé à la vitesse où il les reçoit. Un applicatif obscur n'est plus une mesure de sécurité, c'est une dette de documentation. Seules tiennent les protections indépendantes de la difficulté de compréhension : authentification forte, cloisonnement, moindre privilège, veille de vulnérabilités sur ce que vous exécutez.

Les ordres de grandeur #

• 1,8 million d'applications Android téléchargées et décompilées par une flotte de dix machines louées, à la recherche de secrets oubliés dans le code.
• Deux à trois heures entre le premier accès et le vol de données en masse, sur plusieurs intrusions.
• 2 100 jeux de jetons d'authentification aspirés sur plus de 40 organisations clientes en 34 heures - « les agents ont fait la quasi-totalité du travail ».
• Plus d'une douzaine de vulnérabilités inédites possibles produites en un mois par la fonderie d'exploits de Changsha.

Neuf opérations d'influence, et une échelle pour les mesurer #

Le chapitre sur l'influence est le plus méthodique, et paradoxalement le plus modeste. Pour évaluer la portée réelle de chaque opération, Anthropic applique l'échelle de Brookings (Breakout Scale), un cadre à six catégories reconnu par les chercheurs : elle mesure non le volume produit mais la migration entre plateformes et l'exposition publique atteinte.

Le résultat est instructif. La campagne kenyane d'astroturfing, produite par lots de cinquante messages calibrés pour ressembler à de l'indignation spontanée, est classée catégorie 1 : isolée dans son propre réseau de faux comptes, sans toucher une seule personne réelle. L'agence française aux soixante-dix faux médias, malgré ses 8 913 articles, est classée catégorie 2. La seule catégorie 4, la plus haute du rapport, ne doit rien à la technique : c'est celle de Centrafrique, où le contenu passait quotidiennement à l'antenne d'une station FM.

Anthropic en tire une conclusion qu'il faut lui reconnaître : la plupart des opérations d'influence n'atteignent aucune audience authentique. La portée la plus large a été obtenue là où des médias d'État servaient de canal - radio FM, satellite, ondes courtes, télévision. La lecture utile n'est donc pas « le web va être noyé sous de faux articles », mais : un faux contenu ne devient dangereux qu'au moment où il trouve un canal de distribution légitime. Soit, pour vous, l'usurpation de votre marque ou l'appel qui semble venir d'un dirigeant.

Les garde-fous qui cèdent, et comment #

Un rapport d'éditeur pourrait se contenter de montrer ses protections en train de fonctionner. Celui-ci documente aussi les cas où elles n'ont pas tenu. Trois techniques reviennent.

• La fragmentation du travail. La cellule d'armement yéménite a réparti ses demandes sur de nombreuses sessions, « de sorte qu'aucune session ne révèle l'intention complète » ; le rapport reconnaît que ses garde-fous « ont bloqué beaucoup de leurs requêtes, mais pas toutes ». Même mécanique côté iranien : neuf refus sur dix demandes frontales, mais des protections « moins régulières lorsque l'utilisateur a fragmenté le travail au fil de sessions ultérieures plus petites ».
• La reformulation après un refus. En Centrafrique, le modèle a refusé de désigner nommément des individus comme militants pour attirer sur eux une action des forces de sécurité ; l'acteur a basculé sur une formulation par sources anonymes. En Malaisie, après un refus sur un document identifié comme matériel de diffamation politique, l'acteur a négocié un vocabulaire assaini. En Chine, un refus sur un rapport de « maintien de la stabilité » a été renversé à la relance.
• Le contournement géographique. VPN, numéros de téléphone étrangers, comptes en rotation, serveurs loués à l'étranger, revendeurs et relais tiers : les propagandistes iraniens contournaient ainsi le blocage de l'accès depuis l'Iran, et l'équipe russe travaillant sur l'essaim de drones routait son trafic par des serveurs commerciaux.

Le rapport va jusqu'à l'aveu. Sur les opérations de surveillance chinoises : « nos garde-fous existants n'ont pas fonctionné de façon uniforme dans ces cas ». Sur les unités iraniennes : Claude a refusé les demandes explicites de profilage, mais n'a pas refusé beaucoup des demandes d'outillage logiciel de surveillance. Et côté biologie, un exploitant de plateforme avait ajouté un repli automatique : les requêtes refusées partaient vers le modèle d'un concurrent.

Haiku, Sonnet, Opus : l'argument que le lecteur a le droit de retourner #

Le document est précis sur un point, et ce point est commercial autant que technique. Les modèles détournés sont Claude Haiku, Sonnet et Opus. Aucun cas n'implique les modèles de classe Fable ou Mythos, à une exception près, en distillation : un laboratoire chinois a tenté de distiller les capacités cyber de Fable, puis a renoncé parce que les protections dégradaient ses attaques, et s'est rabattu sur Opus 4.6 et sur le meilleur modèle d'un autre laboratoire américain, explicitement parce qu'il jugeait leurs garde-fous plus faibles. Quant aux modèles Mythos, aucune tentative n'a été observée - le rapport précisant qu'ils ne sont pas accessibles au grand public. L'argument de l'éditeur est limpide : les modèles les plus récents et les mieux verrouillés sont les moins détournés. Le lecteur a le droit de le retourner.

1. C'est un argument de vente. Les modèles vantés comme sûrs sont les plus chers du catalogue, et l'un d'eux n'est pas distribué au public : il est trivialement absent des statistiques de détournement.
2. Les protections ne survivent pas à la distillation. Le rapport l'écrit : les garde-fous ne se transmettent pas quand le modèle est distillé ailleurs. La sûreté n'est pas une propriété du modèle, c'est une propriété du service.
3. Un modèle bridé reste utile à l'attaquant. Le chercheur travaillant sur la grippe aviaire a été confiné par les classificateurs aux modèles les plus faibles ; l'apport est qualifié de « principalement clérical », mais il a tout de même accompagné des semaines de conception d'étude.

À retenir, sans cynisme ni naïveté : la version du modèle qu'utilise votre fournisseur est un paramètre de sécurité, comme la version de son système d'exploitation. Nous avions traité le versant politique de cette dépendance quand Washington a coupé l'accès à deux modèles ; le rapport en donne le versant opérationnel.

L'annexe A : les outils que les attaquants se fabriquent #

Le chapitre cyber se termine par une annexe présentée ainsi : « la liste suivante recense les skills développées par les acteurs de la menace pour construire leurs flux de travail assistés par l'IA ». Une skill est un module réutilisable attaché à un agent pour lui donner une compétence durable - le mécanisme même qu'utilisent nos équipes.

Le détail n'est publié que sous forme de figure, et nous ne le reproduirons pas de mémoire. Le corps du rapport en nomme plusieurs : une skill sur mesure pour déchiffrer des images de micrologiciel d'équipements réseau ; des skills pilotant les flux d'hameçonnage d'un acteur d'espionnage ; des skills de surveillance interrogeant une base de données gouvernementale ; et, chez un acteur iranien, la fonctionnalité de skills personnalisées transformée en fabrique de clonage vocal. Les attaquants n'ont donc pas inventé un outillage parallèle : ils utilisent les fonctionnalités destinées aux développeurs, pour les mêmes raisons - capitaliser un savoir-faire et faire tourner un traitement sans y assister.

Ce que le rapport ne dit pas #

Un rapport publié par l'éditeur du modèle détourné n'est pas une source neutre, et il faut le lire comme tel. Quatre manques méritent d'être posés.

• La durée. Le document ne dit presque jamais combien de temps une opération a tourné avant d'être repérée. On lit « nous avons identifié et perturbé », rarement « après onze mois d'activité ». Dans l'opération bangladaise, on apprend au détour d'un tableau que l'acteur a fait tourner 29 comptes pendant seize mois.
• Les suites. Quelles autorités ont été prévenues, dans quels pays, avec quel effet judiciaire ? « Partagé avec des partenaires du secteur public et privé, le cas échéant ». C'est tout.
• L'efficacité du bannissement. Au Mali, la fermeture du compte a interrompu la conception mais pas le déploiement : la plateforme tourne sur site avec des modèles locaux. Dans un cas de biologie, l'opérateur a rétabli son accès en quelques jours sous de nouvelles identités.
• La vérifiabilité. Volumes, attributions et évaluations de confiance reposent sur la télémétrie interne d'une entreprise ; personne à l'extérieur ne peut les recouper.

L'intérêt commercial est évident : le document montre les garde-fous à l'œuvre, valorise les modèles les plus verrouillés, et charge les laboratoires chinois concurrents. Rien de cela n'invalide le fond. Les mécanismes décrits recoupent ce que Google Threat Intelligence a publié sur les logiciels malveillants pilotés par LLM, ce que Check Point a observé douze heures après la publication d'une faille de passerelle - un épisode que nous avons raconté dans notre chronologie de l'IA offensive -, ce que nous écrivions sur les modèles qui trouvent des failles plus vite qu'on ne les corrige, et la prudence du Panorama de la cybermenace de l'ANSSI, qui parle d'« accélérateur ». Les deux lectures tiennent ensemble : l'IA ne crée pas d'attaques nouvelles, elle rend les anciennes assez bon marché pour que plus personne ne soit trop petit pour être visé.

Dix jours, dix articles #

Nous ne sommes pas éditeurs de modèles. Nous hébergeons, infogérons et développons pour des PME, et notre seule question en lisant ces 154 pages a été : qu'est-ce qui change lundi matin sur les serveurs que nous exploitons ? La série répond thème par thème, jusqu'au 19 septembre.

1. 10 septembre - Huit mois de détournements : ce que documentent 154 pages (cet article).
2. 11 septembre - Votre clé d'API IA vaut trois choses pour un attaquant.
3. 12 septembre - Deux heures entre le premier accès et le vol : l'économie de l'intrusion a changé.
4. 13 septembre - Le logiciel malveillant qui se réécrit jusqu'à ne plus être vu.
5. 14 septembre - WordPress, un webshell dans les polices, des sauvegardes empoisonnées.
6. 15 septembre - Les fonderies d'exploits : votre pare-feu est la ligne de front.
7. 16 septembre - Votre prompt ne reste pas où vous croyez.
8. 17 septembre - Un consultant, une IA, 25 millions de cartes SIM.
9. 18 septembre - Fabriquer de faux humains à grande échelle.
10. 19 septembre - Missiles, drones, virus : ce que les cas extrêmes disent du choix d'un fournisseur d'IA.

La suite demain : ce que devient une clé d'API volée, et pourquoi les clés des services d'IA sont devenues une marchandise à part entière. Si vous voulez en parler pour votre parc avant la fin de la série, écrivez-nous - c'est exactement la conversation que nous avons avec nos clients d'infogérance cette semaine.

Sources #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10 septembre 2026), 154 pages - source principale de toute la série.
• Même rapport : chapitre Cyber operations pour l'uplift selon speed, scale, depth, la section Prevailing trends et l'annexe A ; chapitre Influence operations pour l'échelle de Brookings ; chapitres Surveillance, Conventional weapons, Biological misuse et Illicit distillation pour les cas cités et les aveux sur les garde-fous.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025 (11 mars 2026).
• Google Threat Intelligence Group via The Hacker News, PROMPTFLUX et PROMPTSTEAL (novembre 2025).
• Check Point, HexStrike-AI: when LLMs meet zero-day exploitation (septembre 2025) - la fenêtre de douze heures entre la publication du correctif et les premières recettes d'exploitation.
• Nos articles antérieurs : L'IA pirate déjà et Mythos, GPT-6 Astra.