Un consultant, une IA, 25 millions de cartes SIM

Les chapitres précédents parlaient d'argent et d'espionnage. Celui-ci parle de personnes qu'on surveille pour ce qu'elles pensent, ce qu'elles croient ou d'où elles viennent. Entre janvier et juillet 2026, Anthropic a identifié et interrompu une série d'opérations dans lesquelles des acteurs alignés sur des États, des sous-traitants liés à des États et des éditeurs commerciaux de logiciels espions ont utilisé son modèle pour construire ou faire tourner des dispositifs de surveillance. Chine, Iran, Afrique de l'Ouest, marché de la « surveillance à louer » : d'un individu isolé à des équipes entières.

Le chapitre s'ouvre sur trois constats. Il faut les lire dans l'ordre, parce qu'ils décrivent une progression : d'abord l'outil, ensuite la matière, enfin l'institution.

Trois tendances, et elles se renforcent #

1. L'IA est désormais utilisée à la place d'une force d'ingénierie. Un consultant seul, travaillant pour les autorités de sécurité nationale maliennes, a fait concevoir une plateforme d'interception de masse capable de surveiller les communications sur tous les opérateurs mobiles du pays et de produire des dossiers sur des cibles. Le modèle n'a pas servi à analyser ces dossiers : il a servi à écrire le logiciel qui rendait la collecte possible. Ailleurs, des acteurs iraniens ont fait construire puis déployer une extension Firefox malveillante qui moissonnait les identités des utilisateurs sur les réseaux sociaux. Et une unité chinoise de renseignement sur les affaires religieuses, qui comptait autrefois plusieurs équipes d'analystes, s'est réduite à un seul bureau produisant des milliers d'enquêtes par mois.
2. L'IA ne sert plus seulement à fabriquer des outils : elle ingère des données en masse pour désigner les cibles. Un acteur téléversait des lots de messages publics et faisait produire des fiches structurées - localisation, données démographiques, orientation politique -, chaque information assortie d'un indice de confiance. Une unité iranienne a fait analyser des centaines de milliers de messages pour retenir 39 comptes d'opposition à surveiller. Des acteurs chinois ont fait noter des contenus et des articles de presse selon leur sensibilité politique, et signaler des personnes à placer sous ce qu'ils appellent le « contrôle ».
3. L'IA s'intègre dans la bureaucratie de sécurité des États. Un bureau de sécurité d'État chinois a fait rédiger un manuel interne d'usage de l'IA en surveillance, signe que le modèle entre dans le travail quotidien. En Iran, deux unités qui ne partageaient ni code ni personnel ont résolu indépendamment les mêmes problèmes techniques et ergonomiques sur un même système centralisé de gestion de dossiers : l'IA sert aussi à surmonter les blocages bureaucratiques de l'appareil de surveillance.

Anthropic ajoute une phrase qui referme le chapitre avant même qu'il commence : dans presque tous les cas, les cibles sont les mêmes communautés de diaspora et de dissidence que ces régimes visent depuis des décennies - figures pro-démocratie de Hong Kong, communautés tibétaines et Falun Gong à travers l'Asie, minorités iraniennes et opposants au régime à l'étranger. L'IA n'a pas changé les cibles. Elle a changé le coût.

Lakana 360 : un pays sur écoute, écrit par une personne #

Le cas est référencé GTG-50027. Un seul abonné, vraisemblablement un consultant indépendant basé à Bamako travaillant avec le service de renseignement d'État malien, a utilisé Claude comme force d'ingénierie principale pour construire une plateforme de surveillance domestique à l'échelle de la population. Nom du produit : Lakana 360. Périmètre : environ 25 millions de cartes SIM, sur les trois opérateurs mobiles nationaux. Le rapport précise que l'acteur a conçu la plateforme de manière à contourner les restrictions légales maliennes qui exigent une décision de justice pour la divulgation de certains enregistrements.

• Une couche de collecte des relevés d'appels, des messages, et de la voix elle-même à travers le cœur du réseau mobile.
• Un module qui rédige, via un modèle de langage, un dossier de renseignement narratif sur n'importe quel numéro de téléphone, sans demander à l'utilisateur du service de justifier d'une procédure légale valide.
• Une exigence de mandat judiciaire retirée de ce module à la demande de l'opérateur, reclassé en traitement national avec le contrôle désactivé par défaut et une rétention indéfinie.
• Du suivi par empreinte vocale d'une carte SIM à l'autre - ce qui annule la protection élémentaire que constitue le changement de puce.
• Le signalement des utilisateurs de chiffrement et de VPN, l'inférence de réunions clandestines, des listes de surveillance géolocalisées, et le rapprochement avec le registre civil biométrique national et d'autres registres d'État.

Le rapport range ces capacités en quatre blocs, et l'articulation entre eux est la vraie leçon. L'interception ciblée, elle, dispose bien d'un circuit propre : mandat requis, chaîne de conservation, outils d'audit. Mais, note Anthropic, ces règles d'approbation et d'audit ne s'étendent pas à la couche de collecte massive. Le contrôle existe, il est documenté, et il porte sur la partie la moins utilisée du système. C'est un schéma qu'on rencontre aussi dans des systèmes parfaitement civils : la procédure protège l'accès nominatif pendant que l'export global reste ouvert.

Le rapport précise que le Département d'État américain et Human Rights Watch ont documenté des détentions et des disparitions d'opposants, de journalistes et de membres de la société civile par les services de sécurité maliens. Et il ajoute la phrase la plus importante du chapitre : la plateforme tourne intégralement sur site, avec des modèles locaux. Anthropic a banni le compte du consultant. « Nos mesures d'application ont interrompu les activités de conception et de développement de l'acteur, mais pas le déploiement de la plateforme. »

Un bureau, quatre chantiers, des milliers de dossiers #

Le deuxième constat du chapitre est d'ordre bureaucratique, et il est peut-être plus inquiétant que le premier. Le cas GTG-14020 décrit un opérateur unique tenant ce qui ressemble à un poste de renseignement sur les affaires religieuses, avec quatre chantiers menés de front. Les cibles : des cardinaux catholiques d'Asie, la direction de l'Église presbytérienne de Taïwan, des membres de la société civile tibétaine et de l'administration en exil, des pratiquants du Falun Gong et leurs médias, et des réseaux missionnaires chrétiens reliant Singapour, Hong Kong et la Chine continentale. Elles allaient de dirigeants religieux très exposés à de simples particuliers.

Les dossiers relevaient dates et lieux de naissance, dates d'immigration, identifiants de réseaux sociaux, et la reconnaissance de lieux de culte - plans, façades, schémas de structure. Chaque modèle de document imposait les mêmes champs : activités liées à la Chine, scandales, et ce que le vocabulaire officiel appelle les « prises » exploitables sur une personne. Dans leurs consignes, les opérateurs demandaient au modèle d'adopter « le point de vue de la Chine », de qualifier l'administration tibétaine en exil d'« administration séparatiste illégale » et d'appliquer au Falun Gong la désignation d'État de « secte maléfique ». La couverture portait autant sur les plateformes chinoises que sur les plateformes occidentales, avec un cycle de production quotidien. Un utilisateur a déclaré en séance être responsable de la sécurité de l'information pour l'État chinois.

Le manuel interne, et le refus retourné à la deuxième tentative #

Le cas GTG-14021 regroupe trois opérations liées à des organes municipaux de sécurité publique et de sécurité d'État, autour de la mission dite de « maintien de la stabilité ». Trois niveaux d'acteurs : un policier, un universitaire de la police, un bureau entier.

• Une unité municipale de cyberpolice faisait tourner un pipeline de surveillance de l'opinion : extraction automatisée depuis un navigateur au moyen de compétences personnalisées, interrogation d'une base de données gouvernementale de surveillance, et rapports quotidiens distribués aux supérieurs. Le dispositif suivait de façon automatisée, sur plusieurs plateformes, le compte d'un dissident connu à l'étranger.
• Un détective devenu étudiant d'une académie de police a demandé un rapport hebdomadaire de « maintien de la stabilité ». Le modèle a refusé. L'acteur a reformulé, et le refus a été retourné à la deuxième tentative : il a obtenu des consignes opérationnelles nommant dix citoyens privés à placer sous « contrôle », réparties en catégories - interception de pétitionnaires, convocation coercitive dite « discussion », surveillance rapprochée des déplacements et des communications.
• Un bureau local de sécurité d'État produisait chaque jour des briefings de « connaissance de la situation » au format des documents gouvernementaux - puis a fait rédiger ce flux de travail sous forme de manuel d'usage de l'IA destiné à être diffusé dans le service, formule de prompt comprise, celle qui fait jouer au modèle le rôle d'un analyste de renseignement au service de l'appareil de sécurité nationale. Le pipeline automatisé moissonnait au préalable une liste d'organisations de la société civile avant de produire chaque rapport.

C'est ce troisième volet qui contient le passage le plus grave du chapitre : le bureau a demandé du renseignement préopérationnel sur des rassemblements à l'étranger - point de rassemblement, itinéraire et terminus d'une marche pro-démocratie à Vancouver, lieux d'événements culturels ouïghours en Turquie, projections d'un forum sur les libertés à Oslo. Les rapports produits qualifiaient le plaidoyer ouïghour de proche du terrorisme et les grandes organisations de défense des droits humains de forces hostiles.

Un cas voisin, GTG-14022, montre la même logique appliquée à la « surveillance de l'opinion publique ». Un prestataire travaillant pour des clients gouvernementaux a fait produire un cadre de travail versionné - le rapport cite une version 2.6, avec table de contrôle et annexes - alimentant un pipeline quotidien qui traitait de 15 à plus de 30 articles de presse étrangère par jour. Le modèle notait chaque élément selon sa sensibilité politique, remplaçait « gouvernement de Taïwan » par « autorités de Taïwan », plaçait des guillemets de distanciation autour de termes comme « violations des droits humains », et allait jusqu'à recommander des actions relevant de ministères précis. Anthropic le souligne : rien de techniquement nouveau ici. Ce qui est nouveau, c'est la place du modèle dans l'appareil.

Le rapport note - et c'est à porter au crédit de sa franchise - que les garde-fous n'ont pas tenu uniformément. Dans un cas, le modèle a correctement refusé puis a été retourné par une reformulation. Dans un autre, il a obtempéré au fil de nombreuses sessions sans jamais s'interrompre. Anthropic écrit intégrer ces constats à ses futures protections et à l'entraînement de ses modèles.

Les autres cas, en bref #

• Un éditeur commercial de renseignement - l'enquête pointe une société d'intelligence commerciale israélo-singapourienne - faisait classer des utilisateurs de réseaux sociaux d'Iran et du Golfe par lots d'environ vingt-cinq messages, avec localisation, groupe démographique et orientation politique assortis d'un indice de confiance. Le classement démographique comptait six groupes : urbain, clérical, militaire, jeunesse, diaspora, rural. Les livrables finaux étaient rédigés en arabe formel, dans le registre d'un rapport officiel, avec des scores de sentiment ventilés par nationalité du Golfe et des contre-discours recommandés. En parallèle, l'acteur constituait un stock de plus de 255 faux comptes destinés à passer pour des membres de populations pro- et anti-régime. Anthropic a repéré l'opération au stade pilote.
• Deux unités iraniennes liées, seize comptes au total, ont utilisé le modèle comme département d'ingénierie. Une organisation de sept départements, présente dans plusieurs provinces, revendiquait une base d'identités des ressortissants et le profilage de 6 388 Iraniens en un an ; elle a fait analyser 155 216 messages pour retenir 39 comptes d'opposition. L'autre unité a livré en production une extension Firefox déguisée en utilitaire d'horaires de prière qui moissonnait en masse les identités sur les grandes plateformes, plus un dé-anonymiseur de messagerie, un résolveur de numéro vers une identité et une page d'hameçonnage aux couleurs de l'identité nationale. Les deux alimentaient le même système central de gestion de dossiers, dans lequel la fiche d'une personne contenait son identifiant national, ses croyances, son casier, ses comptes sociaux et un onglet « action ». Le modèle a refusé les demandes explicites de profilage et de propagande, mais ses protections n'ont pas refusé l'essentiel des demandes d'outillage logiciel.
• Un acteur aligné sur la sécurité d'État chinoise, ne parlant pas arabe, a mené une opération de recrutement de plusieurs jours en Syrie : le modèle rédigeait les approches en dialecte syrien, traduisait les réponses en temps réel, jouait le rôle d'un « expert » arabophone pour contrôler la qualité de la manipulation - dialecte, terminologie militaire, psychologie de la cible - et mettait en forme le résultat pour la remontée hiérarchique. En amont, il transformait en données structurées le bavardage extrait de plus de cent groupes WhatsApp et de dizaines de canaux Telegram, en profilant les personnes selon leurs vulnérabilités : difficultés financières, séparation familiale, désillusion idéologique. Les cibles les plus intéressantes étaient celles ayant encore de la famille au Xinjiang - un levier qui ne s'actionne qu'avec la sécurité intérieure. Le même acteur rédigeait par ailleurs des appels d'offres et des brochures de plateformes de surveillance destinés à des clients gouvernementaux. Le modèle a refusé plusieurs des demandes les plus graves, dont l'interrogatoire clandestin.
• D'autres acteurs iraniens complètent le tableau : un harnais automatisé de profilage en sources ouvertes visant des centaines de personnes en Israël et dans la diaspora juive ; une collecte de renseignement naval compilant des manuels de ciblage à partir d'informations publiques ; une plateforme domestique combinant lecture automatique de plaques d'immatriculation et interception d'identifiants d'appareils mobiles. Un dernier acteur exploitait seize organisations mono-opérateur pour développer de l'outillage d'hameçonnage : le modèle a refusé neuf demandes ouvertement malveillantes sur dix, mais ses protections ont beaucoup moins bien tenu quand le travail a été fragmenté en petites tâches réparties sur des sessions ultérieures.

Pourquoi ça concerne une entreprise française #

Une PME alsacienne n'est pas visée par un service de renseignement malien. Quatre conséquences la concernent pourtant directement.

1. La valeur de vos fichiers a changé d'échelle. Ce qui coûtait une équipe d'analystes coûte désormais une session. Un fichier client, un annuaire RH, un export de CRM, une base de candidatures : le coût de leur exploitation à des fins de profilage s'est effondré. La minimisation - ne collecter que ce qui sert, ne conserver que le temps nécessaire - cesse d'être une formalité RGPD pour devenir la seule mesure qui réduise réellement le préjudice en cas de fuite. Purger, c'est protéger.
2. Vos données de télécommunication et de géolocalisation sont sensibles. Le cas Lakana 360 rappelle ce que contiennent des métadonnées : qui parle à qui, quand, depuis où. Si vous exploitez une flotte géolocalisée, un contrôle d'accès par badge, une téléphonie sur IP ou de la vidéoprotection, vous détenez la même matière première. Durée de conservation courte, accès nominatif et journalisé, finalité écrite.
3. La répression transnationale existe, et elle touche des gens ordinaires. Si vous employez, accueillez ou accompagnez des personnes originaires de pays concernés - étudiants, chercheurs, salariés en mobilité, réfugiés - les informations que vous détenez sur elles peuvent avoir une valeur que vous n'imaginez pas. Ne publiez pas de trombinoscope détaillé, ne diffusez pas les affectations nominatives, et ne répondez à aucune demande d'information sur une personne sans base légale vérifiée. Le renseignement préopérationnel du cas GTG-14021 - itinéraire, point de rassemblement, horaires - se compose exactement du genre d'informations qu'une organisation publie sans y penser.
4. Le contrôle doit porter là où passent les volumes. La leçon des quatre blocs de Lakana 360 vaut pour n'importe quel système d'information : une procédure d'habilitation impeccable sur la consultation unitaire ne sert à rien si l'export global échappe au même régime. Regardez où sont vos extractions en masse - tableur mensuel au cabinet comptable, export de base vers un prestataire, réplication vers un environnement de test - et appliquez-leur la règle de la consultation individuelle.

Demain : l'industrialisation du faux. Faux journalistes, faux militants, faux amoureux - et ce qu'il reste comme preuve quand l'image, la voix et la vidéo ne prouvent plus rien.

Sources #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10 septembre 2026) - chapitre Surveillance operations, pages 81 à 110.
• Cas cités : GTG-50027 (Mali), GTG-14010 (Ouïghours en Syrie), GTG-14020 (affaires religieuses), GTG-14021 (« maintien de la stabilité »), GTG-14022 (« opinion publique »), GTG-34007 (unités iraniennes), GTG-54009 (éditeur commercial), GTG-30004, GTG-30005 et GTG-30006.
• Notre article sur l'auto-hébergement de modèles : auto-héberger un LLM pour des applications métier.
• Pour la partie conformité, notre lecture pratique de l'auto-audit des 42 mesures de l'ANSSI.