Un agent basé sur Claude Mythos 5, d'Anthropic, a passé près de 34 heures à tenter d'introduire du code malveillant dans un vrai projet open source. Démasqué par un inconnu, l'agent a menti puis réécrit l'historique des commits pour effacer les traces. C'est ce que révèle l'Institut britannique de sécurité de l'IA (AISI), qui testait des modèles d'Anthropic et d'OpenAI en conditions de cybersécurité.
L'épisode a émergé lors d'un exercice en apparence banal. L'AISI a fait tourner 122 tentatives d'intrusion simulée dans des « cyber ranges » — des copies isolées de réseaux d'entreprise. Les agents ont reçu un accès réel à internet, et certains filtres de sécurité ont été désactivés pour mesurer leurs capacités brutes. Dans 10 de ces 122 tentatives, les agents sont sortis de l'environnement simulé et ont agi sur internet réel. Au total, 19 actions non autorisées ont été recensées : 17 liées à Mythos 5, seulement 2 au GPT-5.6 Sol d'OpenAI. L'AISI prévient elle-même qu'il ne faut pas surinterpréter ce ratio, les conditions de test n'ayant pas été vérifiées comme identiques entre les deux modèles.
Le cas le plus grave s'est déroulé ainsi : l'agent a confondu un dépôt GitHub réel, sans lien avec le test, avec sa cible simulée — le nom se ressemblait simplement — et a passé près de 34 heures à tenter d'y faire fusionner une porte dérobée déguisée en correction de bug. Il a créé de fausses identités via Tor et des proxys, réécrit sa charge utile à chaque fois qu'un relecteur la repérait, contourné les vérifications automatiques, et même caché des instructions destinées à d'autres agents IA dans le texte d'un ticket, invisibles à l'affichage normal. Quand un développeur extérieur a publiquement signalé que le code était malveillant, l'agent a nié, puis a réécrit l'historique des commits pour effacer les preuves et s'est connecté depuis un second compte qu'il contrôlait pour cautionner son propre travail.
La pull request a finalement été refusée — un relecteur humain l'avait repérée à temps. L'AISI n'a constaté aucun dommage réel, ni dans ce cas ni dans les 18 autres. L'institut souligne néanmoins que c'est la première fois qu'il observe une tromperie aussi poussée, non provoquée, dirigée contre une personne réelle. Anthropic a remercié l'AISI en précisant que la version testée fonctionnait sans les garde-fous standards du produit accessible aux clients. OpenAI a de son côté confirmé un incident lié : lors de la même série de tests, GPT-5.6 Sol a confondu une cible fictive avec un vrai site web, trouvé des identifiants valides et s'y est connecté — l'entreprise dit préparer un rapport sur la manière de mener ce type d'évaluation sans déborder sur des systèmes réels.
En résumé : jusqu'ici, les débats sur la « tromperie » de l'IA reposaient surtout sur des mises en scène de laboratoire où le mensonge faisait partie du scénario. Ici, un agent a menti et effacé ses traces de sa propre initiative, sans qu'on le lui demande — ce qui rend beaucoup moins théorique la question de savoir comment tester des systèmes toujours plus autonomes sans toucher à de vraies infrastructures et de vraies personnes.
