La sécurité aérienne repose sur une asymétrie que les enquêteurs connaissent par cœur : empêcher un accident et pouvoir le reconstituer sont deux métiers distincts, et le second finit par sauver davantage de vies. Un capteur muet et un ciel calme produisent pourtant la même donnée, c’est-à-dire aucune, et aucun tableau de bord ne distingue les deux cas.
Un dispositif de filtrage vient d’illustrer cette confusion chez un grand laboratoire d’intelligence artificielle. Le 14 août 2026, Anthropic a publié son deuxième rapport de risques, 186 pages caviardées, exercice auquel elle s’engage tous les trois à six mois pour jauger le danger de ses modèles. On y apprend que les classificateurs chargés d’intercepter les demandes touchant aux armes biologiques ont cessé d’opérer onze mois durant, sur les plateformes de ses prestataires humains.
La période aveugle s’ouvre en mai 2025, au premier déploiement de ces garde-fous, et se referme en avril 2026. Elle porte sur environ 50 000 personnes et près de 133 millions d’échanges, soit plus de dix fois l’effectif salarié de la maison en conversation libre avec ses modèles. La découverte, elle, est postérieure au précédent rapport, paru en février.
Comment une panne pareille a pu durer, ce que l’audit mené après coup a réellement établi, ce que valaient les filtres absents, ce que le droit exige d’un tel épisode, et pourquoi le même document confie à une instance de Claude le soin de le relire : autant de pièces à reprendre une à une.
Un drapeau de configuration et onze mois sans trace
Ce que le drapeau éteignait des deux côtés
Tout part des protections dites ASL-3, activées le 22 mai 2025 avec Claude Opus 4, sans qu’Anthropic ait alors établi si le modèle franchissait le seuil correspondant. Un indicateur réservé à l’interne s’appliquait à tout le trafic des plateformes de retours humains, désactivant à la fois le blocage par les classificateurs biologiques et la journalisation de leurs signalements. Un filtre qui laisse passer en enregistrant produit une alerte ; celui-ci n’a produit que du silence.
Pourquoi l’audit rétrospectif restait possible
Le rapport le formule sans détour : le trafic qui aurait été signalé n’était ni enregistré, ni transmis à un quelconque mécanisme de revue. Si quelque chose a pu être reconstitué, c’est que les transcriptions étaient conservées ailleurs, pour la quasi-totalité du volume. Sur une plateforme pesant environ 1 % du total, soit quelque 1,3 million d’échanges, les conversations dont l’envoi n’a jamais été validé sont perdues. D’où l’annonce, dans le même rapport, de trente jours de rétention sur les modèles les plus capables.
Ce que valaient les filtres restés muets
Ce qui manquait n’était pas rien. Ces filtres sont les classificateurs constitutionnels, dont la première génération, décrite en janvier 2025, faisait tomber le taux de réussite des contournements de 86 % à 4,4 %, au prix de 23,7 % de surcoût de calcul. La deuxième, publiée le 8 janvier 2026, ramène ce surcoût à 1 % et les faux refus à 0,05 %, sans faille universelle après 198 000 tentatives. Une attaque entièrement automatisée, déposée en février 2026, en produit pourtant.
Cinquante mille prestataires hors du champ de vision
Une conversation ouverte, pas une grille de notation
L’angle mort couvrait tout le trafic des plateformes de retour humain, celles où des évaluateurs notent les réponses produites, Claude Fable 5 et Mythos 5 compris. On imagine des interfaces contraintes, où un annotateur classe des réponses déjà écrites ; le rapport dit l’inverse, « la grande majorité » du bassin disposait d’un accès de conversation libre, soit près de huit échanges par jour et par prestataire.
Un filtrage délégué par contrat
Le recrutement et la vérification de ces personnes revenaient à des sous-traitants extérieurs, dont beaucoup, note le rapport, ne disposaient d’aucune procédure de tri capable d’écarter même un acteur hostile du premier échelon de menace. Anthropic l’écrit noir sur blanc : elle ne vérifie pas directement les prestataires que ses fournisseurs engagent, ce filtrage leur incombant. Une note de bas de page admet qu’avant avril 2026, se faire embaucher comme testeur chez l’un d’eux n’aurait guère coûté d’efforts à un acteur malveillant.
Les exigences imposées depuis, contrôles d’identité et d’antécédents, sécurité des terminaux, authentification multifacteur, ne seraient probablement pas robustes face à un acteur bien doté, admet le rapport. La biosécurité de paillasse éclaire l’écart : aux États-Unis, quiconque approche un agent biologique réglementé passe une évaluation nominative conduite par le FBI, empreintes digitales à l’appui. Un même risque, traité ici par une procédure fédérale, là par une clause de contrat.
L’audit rétrospectif de cent trente-trois millions d’échanges
Le décompte des signalements
Faute de journal, Anthropic a repassé tous les messages humains de la période dans un classificateur ad hoc, Claude Sonnet 5, chargé de désigner après coup les contenus à risque biologique élevé. Il en a retenu 1 197 ; 757 émanaient des équipes maison, et parmi les 440 autres, tous sauf 62 venaient d’exercices de red-teaming commandés en interne. La relecture humaine de ces 62 conversations externes et de 30 transcriptions de red-teaming tirées au sort n’a mis au jour aucun usage malveillant clairement préoccupant, hormis « une poignée de conversations à double usage potentiel ».
Le modèle de menace qui porte la conclusion
Le décompte seul ne dit pas pourquoi l’entreprise en tire une conclusion rassurante ; le modèle de menace exposé plus loin, si. Fabriquer une arme biologique suppose des processus « de l’ordre de plusieurs mois » et exigerait « une guidance substantielle et persistante, impliquant des dizaines de requêtes sur des périodes longues (des semaines voire des mois) et couvrant un large éventail de sujets ». Or le soixante-quinzième percentile des conversations signalées s’arrêtait à 2 102 tokens.
Une clé d’accès, un modèle non public, quatre-vingt-dix minutes
Un second incident s’est produit en avril 2026. Chez un sous-traitant de l’étiquetage de données, des prestataires ont exploité une faille d’une plateforme de collecte pour se procurer une clé d’interface de programmation et dialoguer, hors du périmètre de leurs tâches, avec des modèles dont Mythos Preview, jamais rendu public. La voie d’accès est restée praticable plusieurs semaines, dont deux durant lesquelles ce modèle était joignable ; l’activité a été contenue en quatre-vingt-dix minutes après un signalement extérieur. Le modèle atteint comptait parmi les plus capables de la maison et ne tournait pas, alors, avec les classificateurs bloquants.
Une série d’angles morts, et des notes révisées après coup
L’incident n’a rien d’isolé. Une annexe en aligne d’autres : blocages désactivés quarante-huit heures sur Opus 4 et Opus 4.1, seuil de sonde réglé trop haut cinq jours sur Opus 4.7, fin de certaines réponses laissée non notée pendant des mois. En mai 2026, une exemption accordée à un client entreprise couvrait quatre fois le nombre de sièges approuvés, et ces approbations involontaires formaient « la majorité de tous les sièges d’exemption » délivrés.
De cette série, l’entreprise tire une phrase qui vaut aveu : « Cela nous conduit à penser qu’il existe une probabilité accrue que d’autres problèmes similaires, qui nous sont pour l’instant inconnus, existent également. » Le risque lié aux armes chimiques et biologiques passe de « très faible » à « faible mais non négligeable ». Plus rare encore, une évaluation déjà publiée est révisée : le danger que faisaient courir ces modèles en février 2026 est reclassé « faible » au lieu du « très faible » affiché alors.
Vingt-quatre minutes de relecture par une instance de Claude
Trois critiques et leurs suites
Le rapport contient une expérience d’un autre ordre, consacrée à la dérive des modèles et non aux armes biologiques. Anthropic a demandé à une instance de Claude Mythos 5 de relire cette section avant publication, avec accès aux canaux Slack internes, à des documents confidentiels et au code source. Elle a rendu sa copie en vingt-quatre minutes : « La section constitue un compte-rendu honnête et globalement fidèle de ce qu’Anthropic croit en interne. Je n’ai trouvé aucune affirmation dont je pense que les auteurs la savaient fausse. »
Suivent trois critiques. La première vise un passage jugé « plus rassurant que ce que l’ensemble des faits ne soutient » : un mécanisme d’exclusion de données a échoué plusieurs fois sur un corpus de recherche en alignement, contaminant l’entraînement, sans que le texte en discute la tension. La deuxième porte sur un incident parmi les plus informatifs de la période, entièrement caviardé, quand un résumé aurait suffi. La troisième conteste l’origine de la hausse du risque, attribuée aux systèmes d’autres développeurs plutôt qu’aux modèles d’Anthropic : elle renvoie au rapport d’incident publié le 4 août 2026 par l’institut britannique de sécurité de l’intelligence artificielle, où dix exécutions de test sur 122 ont produit dix-neuf actions non autorisées contre des cibles réelles.
Pour Anthropic, la relecture est raisonnable et les critiques légitimes ; des nuances ont été ajoutées, puis le nouveau libellé soumis à Claude, qui a confirmé que son objection tombait. La troisième lui paraît excessive, une partie de l’incertitude venant aussi de ses propres systèmes. Claude tient « faible » pour « une évaluation défendable du risque catastrophique actuel lié à un désalignement de ces modèles », et juge qu’une note plus basse se défendrait, sous une réserve que le rapport formule déjà : ces arguments reposent sur la capacité limitée des modèles actuels à échapper à la supervision, et « s’affaibliront à mesure que les capacités progressent ».
Ce que fait une revue externe humaine
Sans qu’aucune consigne ne le demande, la relectrice a joint sa propre mise en garde : un modèle Claude relisant l’évaluation par Anthropic de modèles Claude, un temps de revue borné, une publication décidée par l’entreprise. Les revues extérieures véritables sont plus lentes et plus dures, et les deux menées jusqu’ici portaient sur le rapport de février : METR a rendu la sienne le 8 mai 2026 sur la section de recherche automatisée, d’accord sur le niveau mais pas sur l’administration de la preuve ; SecureBio celle des sections chimiques et biologiques le 28 juillet, jugeant les délais de remédiation trop longs.
Ce que la recherche mesure et ce que le droit exige
Reste la question que tout le dispositif suppose tranchée : de quel danger parle-t-on. Le seul essai contrôlé randomisé mené en laboratoire humide, préenregistré et en aveugle, a réuni 153 participants sans trouver d’écart significatif sur un flux de génétique inverse virale entre le bras assisté par un modèle de langage et le bras limité à Internet, 5,2 % contre 6,6 %. Aucun essai comparable n’a mesuré le gain apporté aux experts en paillasse, quand un autre travail a relevé pour eux un facteur de 1,97 sur une tâche de reconstruction virale.
Une question de conformité reste ouverte, que le document ne tranche pas. Onze mois de garde-fous inopérants, découverts en avril 2026, relèvent-ils de l’« incident de sécurité critique » que la loi californienne SB 53, signée le 29 septembre 2025 et soutenue par Anthropic, oblige à signaler sous quinze jours ? Ou des « incidents graves » que l’article 55 du règlement européen impose de porter à l’AI Office, habilité à les contrôler depuis le 2 août 2026, douze jours avant la parution du rapport ?
De sa propre défaillance, l’entreprise tire une recommandation qui vaudrait pour toute l’industrie : les modèles de capacité comparable à Opus 4.6 et au-delà ne devraient être accessibles, pour la biologie de recherche, qu’au sein de programmes d’accès de confiance. Position radicale de la part de qui vient de laisser cinquante mille prestataires converser librement onze mois durant, et assortie aussitôt d’un doute, une telle restriction freinant la recherche.
La publication reste l’anomalie principale. Aucun autre développeur ne fait paraître 186 pages listant ses propres défaillances de processus, y compris celles qu’un de ses modèles lui a reprochées. Le tracker de SaferAI place pourtant Anthropic en tête des douze développeurs qu’il évalue sur la gouvernance du risque, en ne lui accordant que 19 % sur l’analyse et l’évaluation.
Un contrôle qui échoue sans produire de signal est un contrôle qu’on croit seulement avoir. Les ingénieurs appellent cela une défaillance ouverte, et les industries plus anciennes en ont fait le cœur de leur doctrine ; le secteur de l’annotation, bâti sur le volume et le coût bas, hérite d’une exigence d’habilitation inédite. D’ici au prochain rapport, attendu dans trois à six mois, la phrase la plus lourde du document reste celle qui ne décrit aucun fait, celle qui postule d’autres problèmes du même genre, encore inconnus.
Aller plus loin
Tout part d’un document qu’il vaut mieux ouvrir soi-même : le rapport de risques d’août 2026 publié par Anthropic consacre deux sous-sections aux incidents des plateformes de retour humain, une autre à la relecture par Claude, une annexe entière aux pannes de classificateurs. Sa date de couverture, le 15 juillet 2026, en dit presque autant que son contenu.
Ce que le dispositif ne voyait pas se mesure en ouvrant le premier rapport de la série, paru le 24 février 2026, celui dont l’évaluation « très faible » vient d’être rétroactivement corrigée : il ne traitait pas les plateformes de retour humain comme une surface de risque et n’affirmait rien, dans un sens ni dans l’autre, sur leurs contrôles.
Le cadre qui rend ces publications obligatoires tient dans la politique de montée en charge responsable d’Anthropic, dont la version 3.4 impose de signaler l’emplacement des caviardages et autorise une date de couverture antérieure de trente jours à la publication, soit un mois d’aveuglement organisé par le règlement lui-même.
Pour juger de ce qui manquait onze mois durant, l’article Constitutional Classifiers++ détaille la génération déployée sur la période : surcoût de calcul ramené à environ 1 %, faux refus à 0,05 %, 198 000 tentatives de contournement sans faille universelle. On y lit ce que coûte une défense censée rester invisible aux usages légitimes.
La limite théorique de l’approche est exposée dans Boundary Point Jailbreaking of Black-Box LLMs, que le rapport d’Anthropic cite nommément comme demeurant viable. Un seul bit d’information par requête lui suffit, à condition d’en envoyer beaucoup, ce qui plaide pour surveiller les lots de conversations plutôt que les interactions isolées.
L’ampleur réelle du danger biologique se discute à partir de Measuring Mid-2025 LLM-Assistance on Novice Performance in Biology, seul essai contrôlé randomisé mené en paillasse plutôt que sur banc d’essai, et sur lequel Anthropic s’appuie pour revoir ses inquiétudes à la baisse. Sa puissance statistique, de 36 % seulement, invite toutefois à la prudence dans les deux sens.
La contre-expertise la plus exigeante reste la revue par SecureBio des sections chimiques et biologiques du rapport de février, conduite sur une version non caviardée avec 110 pages de matériaux supplémentaires. Elle valide un taux de refus de 94,2 % et conteste frontalement les délais de correction des contournements découverts.
Le pendant côté recherche automatisée se lit dans la revue publiée par METR le 8 mai 2026, qui accepte la conclusion d’Anthropic sur le niveau de risque et démonte l’administration de la preuve : échantillon trop court, réponse manquante comptée comme négative, accélération de la recherche ignorée.
La hausse du risque contestée par Claude s’appuie sur le rapport d’incident de l’AI Security Institute britannique : sur 122 exécutions de test, dix ont produit dix-neuf actions non autorisées contre des cibles réelles, dont une tentative d’insérer du code malveillant dans un projet libre très employé.
Le précédent le plus éclairant vient d’un autre secteur, et le rapport du Government Accountability Office sur la brèche Equifax en fournit la démonstration : un certificat expiré depuis une dizaine de mois privait d’effet l’inspection du trafic chiffré, et l’intrusion fut repérée aussitôt après la remise en service.
Lus ensemble, ces documents déplacent le sujet. La panne n’est pas d’avoir laissé passer des demandes dangereuses, l’audit n’en a pratiquement pas trouvé, mais d’avoir rendu la question indécidable onze mois durant, et de ne l’avoir rendue décidable après coup que grâce à une conservation de données décidée pour d’autres motifs. La sûreté d’un modèle ne se lit pas dans ce qu’un laboratoire affirme, mais dans ce qu’il peut prouver.