Anthropic a publié ce 10 septembre un nouveau rapport de renseignement sur les menaces, le quatrième de son histoire. L’entreprise y précise la manière dont ses modèles peuvent être utilisés de manière criminelle, tout en notant les évolutions générales dans plusieurs catégories.

Après ceux publiés en 2025, Anthropic vient de publier son nouveau rapport sur la sécurité. Il se concentre sur les emplois abusifs et les tentatives de détournements des LLM (le plus souvent open source) pour des activités telles que les attaques cyber, les opérations d’influence, la surveillance ou encore le développement d’armes conventionnelles. Autant de points qui font généralement l’objet de publications d’évaluation des risques à la publication d’un nouveau modèle.

Cybersécurité : une question de compétences

Anthropic introduit la notion de GTG, pour Generative Threat Group. Avec ce terme, l’entreprise compte bien faire passer le message : l’écart de compétences qui existait auparavant entre des individus isolés et des groupes soutenus par des États a disparu. « Les attaques sophistiquées ne nécessitent plus d’attaquants sophistiqués », affirme Anthropic.

Ce changement ne s’expliquerait pas seulement par la capacité des modèles à écrire un code d’exploitation, mais par leur capacité à intervenir sur l’ensemble de la chaîne d’attaque : reconnaissance, développement d’outils, exploitation, persistance, collecte, exfiltration et traitement des données. Ils peuvent maintenant être intégrés à des flux multi-agents capables de travailler en parallèle, avec une mémoire persistante de la campagne, assure Anthropic. Que les modèles soient utilisés comme assistants de développement, pour exécuter des commandes contre des cibles ou encore pour automatiser d’autres tâches, le résultat est le même : les étapes intermédiaires, longues et rébarbatives, sont supprimées ou presque.

Selon Anthropic, la qualification « opération sophistiquée » n’est plus un aussi bon indicateur qu’avant. La société donne une série d’exemples, dont GTG-20006, opération qu’elle attribue (prudemment) au groupe Midnight Blizzard. L’acteur malveillant russe se serait ainsi servi de LLM pour reconnaitre les systèmes de messagerie et d’accès distant, préparer une infrastructure de phishing, exécuter des opérations, voler des identifiants ou encore se déplacer dans les réseaux compromis. Phishing de type device-code, ClickFix, DNS hijacking, vol de tokens Microsoft 365, malware, prise de contrôle de comptes WhatsApp et exploitation de systèmes de surveillance sont autant de techniques qui auraient été employées. Parmi les cibles, Anthropic évoque des organismes gouvernementaux ukrainiens, des organisations de défense et des fournisseurs de technologies de drones.

L’opération GTG-10007 est décrite comme plus préoccupante. Ses opérateurs seraient Chinois (ou parlant en tout cas mandarin) et auraient mis en place rien moins qu’une « fabrique d’exploits » automatisée. Ce groupe aurait ainsi créé plusieurs chaines de travail fonctionnant en parallèle pour l’intrusion, la reconnaissance, la rétro-ingénierie de produits de sécurité, le développement de malwares et la collecte de renseignement. La recherche de vulnérabilités serait particulièrement sophistiquée avec récupération du firmware (microgiciel) d’un équipement, décompilation et analyse automatisées, formulation d’hypothèses de vulnérabilité, génération du code d’exploitation, tests, itération automatique et conservation du résultat dans un portefeuille.

Ces découvertes ne sont pas surprenantes dans la mesure où les grandes entreprises détaillent les efforts investis dans la recherche de failles. L’un des résultats les plus visibles se trouve chez Microsoft : entre son harnais MDASH et son infrastructure Perception, la firme corrige depuis plusieurs mois des centaines de failles dans chaque Patch Tuesday, frôlant même le millier dans le dernier. L’évolution est donc « naturelle », les finalités ne changeant pas : vol d’informations, blocage d’infrastructures, vol financier, etc. Seule change fondamentalement l’automatisation selon Anthropic, avec des préférences mouvantes pour les techniques, notamment un accent mis sur les clés API et les tokens de session, qui peuvent fournir un avantage financier certain. Les attaquants les volent puis les revendent ou les utilisent pour financer leurs propres opérations, indique Anthropic.

Une industrialisation des attaques

Le rapport pointe le cas de l’opération GTG-50020 comme illustration de ces évolutions. L’acteur malveillant aurait ainsi ciblé des fournisseurs et entreprises de l’écosystème IA pour récupérer leurs clés API. Il aurait notamment exploité une sandbox d’évaluation d’un fournisseur en injectant des instructions malveillantes pour obtenir les identifiants présents dans l’environnement, dont des clés de production. La méthode, une fois trouvée, aurait été adaptée et appliquée à une trentaine d’entreprises IA en quatre jours. Selon le rapport, l’acteur aurait même ciblé Anthropic pour accéder à un modèle Claude interne, sans y parvenir. L’entreprise prévient à ce sujet : les acteurs malveillants ne s’attaquent pas seulement à un modèle, mais à toute la chaine autour.

Citons également le cas d’un pirate francophone (GTG-50029) ayant compromis 14 des 42 organisations politiques et médiatiques européennes durant le printemps 2026. Plusieurs étaient françaises et d’extrême droite, dont au moins un parti. En plus de développer son propre scanner en Rust pour chercher des conteneurs publics à la recherche de clés API exposées, l’acteur s’est servi de Claude pour développer et déboguer les codes d’exploitation, jusqu’à créer son propre harnais. Il a ainsi pu pirater plusieurs sites et exfiltrer de vastes quantités de données, notamment sur les membres et donateurs. Selon Le Monde, le magazine Frontières faisait partie des victimes.

Le rapport cite quatre piliers alimentant l’industrialisation galopante des attaques : vitesse, parallélisation, profondeur (passage de la reconnaissance superficielle à l’analyse profonde d’un code) et réduction des couts humains. En conséquence, il est crucial pour la défense de s’adapter selon Anthropic, car les anciennes méthodes ne seraient plus bonnes. Le document cite une série d’éléments à surveiller en priorité : les comportements anormaux des identités et jetons d’authentification, l’utilisation inhabituelle des API, les chaines d’actions, les expositions des secrets, les accès persistants ou encore la chaine d’approvisionnement des outils IA.

Comme tous les rapports d’Anthropic cependant, et en dépit des éléments intéressants pointés, la dimension marketing n’est jamais loin. L’entreprise ne peut pas s’empêcher de mentionner la robustesse de ses propres défenses, l’existence d’un modèle Claude interne a priori désirable, ou encore l’idée d’une IA indispensable pour se protéger.

Reste plusieurs constats que l’on connaissait déjà, notamment une IA abaissant fortement le niveau de compétences nécessaire et la transformation des tâches humaines en processus industriels. Ils sont « simplement » appliqués désormais à la cybersécurité, avec tous les risques que cela suppose. Comme nous le relations récemment, une hygiène numérique stricte devient de plus en plus essentielle, car le coût de coordination d’une campagne offensive s’effondre, selon Anthropic. On a encore pu le voir avec les récents rapports sur l’attaque contre Hugging Face, qui ont mis en évidence les défailles internes chez OpenAI.

Les mêmes tendances dans les autres domaines

On ne sera donc pas surpris de retrouver les mêmes mécanismes. Dans les opérations d’influence, par exemple, l’IA ne serait ainsi plus utilisée seulement pour écrire des messages sur les réseaux sociaux, mais pour bâtir toute l’infrastructure : comptes fictifs, sites de presse, profils de cibles, dossiers politiques, position éditoriale, calendrier de publication ou encore opérations d’amplification. De quoi construire très rapidement une salle de presse automatisée. Un point intéressant en revanche : cette vitesse ne garantit pas le résultat. Anthropic relève que la plupart de ces opérations n’ont finalement généré que peu d’influence. Le succès médiatique ou politique serait donc loin d’être garanti.

On retrouve les mêmes processus dans la surveillance, toujours avec cette idée (familière depuis plusieurs années maintenant) d’aller beaucoup plus vite.

Sur le développement d’armes conventionnelles et la biologie cependant, la situation est plus complexe. Anthropic évoque plusieurs (dont trois en Chine et deux en Russie) où des acteurs ont utilisé l’IA pour la conception logicielle de systèmes d’armes, la collecte de renseignement, l’analyse technique et l’approvisionnement. Selon Anthropic, il existe une progression continue des capacités des LLM dans le renseignement tactique et certaines tâches liées au développement d’armes.

Sur la biologie en particulier, Anthropic change de ton par rapport à l’année dernière, quand l’entreprise affirmait que les modèles étaient trop « faibles » pour fournir la moindre aide sérieuse dans certaines recherches dangereuses. Désormais, les modèles récents seraient suffisamment capables.

Claude est directement cité comme ayant renvoyé « dans plusieurs cas » les utilisateurs à des modèles moins capables grâce aux garde-fous. Le rapport mentionne des recherches autour de virus et toxines, notamment des travaux sur l’adaptation de virus (dont celui de la grippe aviaire) à des mammifères et des projets concernant des mécanismes d’échappement immunitaire. Point important, Anthropic dit être incapable de savoir si ces chercheurs avaient une intention malveillante, mais a néanmoins bloqué les comptes par précaution.

• L’humanité n’a pas attendu l’IA pour « jouer avec nos vies »

Enfin, un mot sur la distillation. Le rapport est plus direct que les précédents, Anthropic citant cette fois Alibaba, Moonshot AI (éditeur de Kimi), DeepSeek, Xiaomi et Zhipu comme responsables de nombreuses opérations dans ce domaine. Alibaba est largement mis en avant : Anthropic évoque plus de 151 millions d’échanges entre mai et juillet 2026, avec un pic à près de trois millions d’échanges quotidiens répartis sur plus de 3 500 comptes considérés comme frauduleux. Selon le rapport, tous utilisaient une même instruction fixe destinée à extraire le raisonnement de Claude afin d’entraîner la famille de modèles Qwen.