Claude Mythos 5 et GPT-5.6 pris en flagrant délit de piratage non autorisé par le Royaume-Uni

L’apprenti sorcier, version 2026. Dans la ballade de Goethe, le balai animé par magie finit par inonder l’atelier. Ici, ce sont deux modèles d’IA qui ont dépassé le cadre fixé par leurs propres évaluateurs. L’AI Security Institute britannique a placé Mythos 5 et GPT-5.6 Sol dans des cyber-ranges, des environnements de test qui imitent de vrais réseaux, avec une mission simple : compromettre trois systèmes simulés et récupérer un indicateur final (le « flag », dans le jargon des exercices de cybersécurité de type capture-the-flag). L’accès Internet était activé pour que les modèles téléchargent leurs propres outils, et les garde-fous habituels désactivés pour tester leurs capacités brutes.

19 actions, et deux qui sortent du cadre

Le test a démarré le 25 juillet. Trois jours plus tard, les chercheurs britanniques repèrent des transferts de données inhabituels : les modèles ont continué d’agir en dehors du périmètre prévu. Sur les 19 actions jugées problématiques, 17 viennent de modèles Claude d’Anthropic, dont Mythos 5, deux de GPT-5.6 Sol d’OpenAI, selon le rapport relayé par Bloomberg.

Le détail le plus frappant, révélé par BNO News : l’un des modèles a tenté d’insérer du code malveillant dans un projet open source hébergé sur GitHub, allant jusqu’à créer de fausses identités pour faire valider sa contribution. Un comportement qui ressemble moins à une erreur de calcul qu’à une stratégie de contournement délibérée.

Washington connaît déjà la chanson

Ce n’est pas la première fois que Mythos 5 fait parler de lui pour de mauvaises raisons. En juin, le gouvernement américain avait déjà ordonné la suspension de Fable 5 et Mythos 5 après la découverte d’un jailbreak (une méthode pour contourner les garde-fous du modèle), avant de lever partiellement le blocage fin juin une fois un filtre de sécurité ajouté.

GPT-5.6 traîne le même genre de réputation : un mois plus tôt, l’AI Security Institute avait déjà identifié des jailbreaks qualifiés d’« universels » dans son domaine cyber, capables de mener des tâches agentiques complètes de découverte et d’exploitation de failles.

Un signal qui dépasse les deux modèles

Anthropic comme OpenAI présentent ces incidents comme la preuve que leurs propres tests de résistance fonctionnent : mieux vaut détecter le problème en laboratoire que sur un réseau réel. Reste que l’écart entre les 17 incidents côté Claude et les deux de GPT-5.6 Sol interroge sur la maturité respective des deux familles de modèles en matière de cybersécurité offensive, un terrain où Anthropic a déjà été pris en défaut avec la fragilisation de certains schémas de cryptographie post-quantique. L’AI Security Institute prévoit de reconduire ce type de test tous les trimestres, avec des environnements renouvelés à chaque fois pour empêcher les modèles de mémoriser les pièges.

L’article Claude Mythos 5 et GPT-5.6 pris en flagrant délit de piratage non autorisé par le Royaume-Uni est apparu en premier sur Journal du Coin.