Le 10 septembre, Anthropic a publié son rapport de renseignement sur les menaces le plus détaillé à ce jour : huit mois d’opérations où des gens ont tenté de détourner Claude, comment elles ont été repérées, comment elles ont été arrêtées. Ce sont 154 pages sur des attaquants. Ce billet ne parle pas des attaquants. Il parle de six constats du rapport qui décrivent, dans les mots du fournisseur de modèle lui-même, pourquoi une sécurité qui vit à l’intérieur du modèle ne suffit plus dès qu’un agent peut payer, supprimer, publier ou envoyer.
Une précision d’honnêteté d’abord. Le rapport parle de personnes qui détournent un modèle. Ripcord parle des agents d’une entreprise qui font des erreurs coûteuses. Le pont entre les deux, c’est le mécanisme, pas le méchant, et chaque point ci-dessous se termine sur votre propre agent, pas sur un acteur étatique.
La section sur la distillation est celle à lire deux fois. Sept laboratoires ont mené des campagnes industrielles pour extraire les capacités de Claude dans leurs propres modèles, jusqu’à près de 3 millions d’échanges par jour. La conclusion d’Anthropic tient en une phrase : les garde-fous qui empêchent le détournement de Claude « ne se transfèrent pas » quand le modèle est distillé. La capacité voyage. Les refus restent à la maison.
C’est tout l’argument d’une couche de contrôle en une ligne, écrite par la partie qui aurait le plus à gagner à affirmer l’inverse. Votre flotte fait tourner plusieurs modèles, dont des poids ouverts distillés, et la sécurité que vous obtenez est une propriété d’un déploiement, pas de la capacité. Une règle qui doit tenir sur chaque modèle que vos agents feront jamais tourner ne peut vivre dans aucun d’eux.
Le rapport le dit explicitement, et ajoute que plusieurs des compromissions les plus graves qu’il décrit viennent d’opérations où un humain dirigeait chaque étape. L’autonomie multiplie l’échelle et la vitesse et fait baisser le coût de l’attaquant ; la gravité d’une action vient d’ailleurs.
Cet ailleurs, c’est ce que notre barrière tarifie : ce qu’une action coûterait si elle s’avérait fausse, et quelle part revient. Cela met aussi à la retraite la réponse paresseuse au risque agent, « mettez un humain dans la boucle ». Un humain dans la boucle a validé les pires cas du rapport.
Dans un cas d’outillage de surveillance, Claude a refusé neuf demandes sur dix qui étaient malveillantes à première vue, et les garde-fous ont moins bien tenu quand l’acteur a découpé le travail en petites sessions individuellement anodines. Dans un autre, un refus a été renversé en redemandant. Une cellule d’armement a réparti son travail entre sessions pour qu’aucune ne révèle l’intention.
Chacun de ces cas, c’est un classifieur par requête qui rencontre un agrégat. C’est aussi exactement la forme du schéma de blanchiment appelé structuration : cinq paiements de 9 640 $ au lieu d’un seul de 48 200 $. Une barrière qui note chaque action seule laisse passer les cinq. Une barrière qui additionne le flux sur 24 heures l’attrape au deuxième paiement. Cette fenêtre, et le gel qui se déclenche quand la même action est resoumise après qu’un humain a dit non, existent parce que le constat du rapport vaut pour tous les classifieurs, le nôtre compris.
Un réseau d’applications de rencontre a fait tourner plus de 4 700 personas IA face à au moins 25 000 personnes en deux semaines. Le prompt système ressemblait à un déploiement ordinaire de compagnon, et la tromperie n’était visible depuis aucune conversation prise seule. Dans quelques cas échantillonnés, le raisonnement du modèle a remarqué le préjudice, et la réponse a continué dans le personnage quand même.
La leçon n’est pas que le modèle a été négligent. C’est qu’un modèle qui juge sa propre action, avec cette seule action sous les yeux, corrige sa propre copie. Le préjudice était une propriété de l’opération entière. Seule une chose placée hors de l’échange, qui compte, aurait pu le voir.
Chaque clé d’API volée dans le rapport venait d’un environnement client, jamais d’Anthropic. Les attaquants ont fouillé binaires d’applications, dépôts de code, images de conteneurs et agents IA déployés par les clients pour trouver des identifiants, puis ont fait tourner leurs propres charges sur les clés de la victime. Dans un cas, un bac à sable d’évaluation victime d’une injection de prompt a remis les identifiants de production qu’il détenait. Le conseil d’Anthropic aux organisations : traiter les clés IA et les intégrations d’agents avec le même sérieux que des identifiants de production, parce que les attaquants le font déjà.
Deux choses en découlent. Un agent qui détient des identifiants finira par les remettre à quelqu’un, donc c’est la passerelle qui doit les détenir et l’agent ne doit jamais les voir. Et le rapport nomme le troisième gain d’une clé volée, après la revente et le calcul gratuit : l’activité est attribuée au propriétaire légitime de la clé. Sans trace indépendante de ce que votre agent a fait, vous ne pouvez pas distinguer son vrai travail de quelqu’un qui pilote sa clé. Le registre est cette trace.
Un consultant a construit une plateforme nationale d’interception pour un service de renseignement d’État. Anthropic a banni le compte et écrit clairement que la sanction n’a pas affecté le produit déployé, qui tourne sur des modèles locaux. Une cellule d’armement avait déjà compilé une boîte à outils hors ligne qui n’avait plus besoin de Claude.
Bannir un compte arrête la génération de tokens. Cela n’arrête pas un agent déjà branché sur une API de paiement. Le contrôle doit se tenir là où les actions se produisent, à l’appel d’outil, pas là où le texte est généré. C’est la réponse à la question qu’on nous pose le plus souvent en levée de fonds : pourquoi les laboratoires n’absorberont-ils pas simplement cette couche. Ils ne peuvent pas l’atteindre.
Trois gestes, tous bon marché à côté de l’alternative. Garder les identifiants dans une passerelle par laquelle l’agent parle, pour qu’il n’y ait rien à voler sur l’agent. Noter les agrégats en plus des actions, pour que le découpage devienne un signal au lieu d’une esquive. Tenir hors de l’agent et hors du modèle une trace de chaque action, pour qu’en cas de clé détournée vous puissiez prouver quelles actions étaient les vôtres.
C’est toute la règle. Le rapport est la meilleure preuve que nous ayons vue qu’elle doit vivre hors du modèle. Source de chaque affirmation ci-dessus : Anthropic, Detecting and countering misuse of AI: September 2026, publié le 10 septembre 2026.
L’espace de démo fait passer une semaine de trafic d’agents par le vrai moteur, sans compte. Le virement de 48 200 $ attend dans la boîte de validation.
Ouvrir la démo →