Le contrôle des exportations repose sur une idée ancienne : certains objets déplacent le rapport de force entre États, et le pays qui les abrite décide qui peut les recevoir. La liste de ces biens à double usage s’écrit en retard sur la technique, et pour ce qui tient dans un conteneur, non pour un service qu’on interroge depuis un navigateur.
Le vendredi 12 juin 2026 à 17h21 heure de l’Est, soit 23h21 à Paris, Anthropic reçoit un courrier du gouvernement américain. Trois heures suffisent pour que ses deux modèles les plus capables cessent de répondre, sur toute la planète et à chacun. Claude Fable 5 et Claude Mythos 5 avaient été lancés le 9 juin par la rivale la plus directe d’OpenAI, maison mère de l’assistant Claude. Leur existence publique aura duré soixante-douze heures.
La lettre range ces modèles parmi les biens soumis à autorisation d’exportation, celle des matériels militaires sensibles, et en ferme l’usage à toute personne de nationalité étrangère, salariés de la maison compris. Or nul n’exhibe son passeport pour ouvrir un compte en ligne : faute de pouvoir répartir sa clientèle par nationalité, l’entreprise a tout suspendu, ses autres modèles restant disponibles. Elle conteste, parle de malentendu, promet un rétablissement rapide et note que le courrier « ne donnait pas le détail de sa préoccupation de sécurité nationale ».
Un outil dont se servent des centaines de millions de personnes a disparu entre un soir et un matin, sur une missive arrivée un vendredi en fin de journée. Restent à établir ce qu’étaient ces modèles, ce que valait le contournement déclencheur, par quel mécanisme un courrier produit un tel effet et pourquoi il survient dans un affrontement ouvert depuis la fin février.
Trois jours d’existence publique
Le 9 juin, Fable 5 est présenté comme le premier modèle « de classe Mythos » rendu assez sûr pour un usage général, un cran au-dessus de la lignée Opus. Les deux partagent un tarif de 10 dollars par million de tokens en entrée et 50 en sortie, moins de la moitié de Mythos Preview facturé 25 et 125. Inclus sans surcoût dans les formules Pro, Max, Team et Enterprise, Fable 5 devait en être retiré le 23 juin, avec une rétention du trafic à trente jours.
Ni tout à fait bridé, ni tout à fait débridé
On oppose couramment un modèle grand public contraint sur la cybersécurité et, pour la première fois, sur les armes biologiques et chimiques, à un modèle débridé réservé aux entreprises. Le dispositif est plus fin. Trois classifieurs renvoient vers Claude Opus 4.8 les tâches cyber offensives, la biologie, la chimie et les tentatives de distillation, dans moins de 5 % des sessions. Mythos 5, taillé pour dénicher et exploiter des vulnérabilités à cadence élevée, ne se vend pas plus cher : l’accès est réservé aux partenaires cyberdéfense de Glasswing et à des chercheurs en biologie triés.
Un contournement que personne ne sait mesurer
Tout part d’un jailbreak. Une entreprise cliente a franchi les garde-fous de Mythos, ces verrous qui doivent lui interdire de traiter les requêtes dangereuses ; une fois signalée, la faille est remontée jusqu’au bureau du secrétaire au Commerce Howard Lutnick. Parvenue au régulateur, elle devient un levier de droit.
Anthropic parle d’« un petit nombre de vulnérabilités mineures déjà connues », « relativement simples », que « d’autres modèles publiquement disponibles savent découvrir ». Le contournement est « étroit » et « non universel » : faire lire au modèle une base de code et corriger ses défauts, capacité « largement disponible sur d’autres modèles (dont GPT-5.5 d’OpenAI) » utilisée en routine par les professionnels de la sécurité.
Ce que la recherche ne sait pas mesurer
Les capacités offensives s’évaluent pourtant : le Catastrophic Cyber Capabilities Benchmark mesure des chaînes complètes, de la reconnaissance à l’exploitation. Sur les jailbreaks, JailbreakBench constate l’inverse, aucune pratique standard et des évaluations peu reproductibles : nulle métrique ne dit si le contournement du 12 juin était grave, et l’appréciation revient à qui décide.
Ce qu’un courrier du secrétaire au Commerce peut faire
La lettre qui informe, un pouvoir sans règle
Ranger un produit dans cette case n’est pas un classement opposable à tous, mais une lettre adressée à une entreprise nommée. L’Export Control Reform Act de 2018, codifié à 50 U.S.C. § 4817(b)(1), autorise le secrétaire au Commerce à des contrôles intérimaires sur les technologies « émergentes et fondamentales », notamment « en informant une personne qu’une licence est requise pour l’exportation ». Il s’exerce sans règle préalable, consultation publique ni publication au Federal Register, et ne crée aucune norme opposable : Anthropic est seule visée, OpenAI, Google et Meta ne le sont pas.
Le deemed export et le code objet
Selon 15 CFR § 734.13(b), transmettre sur le sol américain de la « technology » ou du code source à une personne étrangère vaut exportation vers son pays de nationalité ou de résidence : d’où la portée sur les salariés étrangers de Californie. Un détail pèse : le § 734.13(a)(2) vise la technologie et le code source, « mais pas le code objet ». Or un modèle interrogé par API n’expose ni poids, ni code source, ni documentation.
Une règle écrite pour six pays, un risque sans plafond
L’autre fondement, le 15 CFR § 744.22 sur les usages de renseignement militaire, ne couvre pas le monde : il vise la Biélorussie, la Birmanie, le Cambodge, la Chine, la Russie, le Venezuela et les groupes E:1 et E:2, avec présomption de refus. L’étendre à toute destination et à toute personne étrangère en change la nature : c’est sur cet écart que se jouera la contestation.
Couper plutôt que filtrer s’explique par un ordre de grandeur : jusqu’à 300 000 dollars par violation au civil, ou deux fois la valeur de la transaction, et vingt ans de prison au pénal. Rapporté aux requêtes d’un service mondial, le risque n’a plus de plafond, et débrancher est la seule position où le compteur s’arrête. La cible inclut d’ailleurs les chercheurs de l’entreprise, devenus étrangers au modèle qu’ils construisent.
Un outil de défense débranché avec le reste
Project Glasswing a été lancé le 7 avril 2026 avec douze partenaires fondateurs, d’AWS et Apple à Microsoft et la Linux Foundation, 100 millions de dollars de crédits et 4 millions de dons au logiciel libre. La lignée Mythos, dévoilée en avril et réservée à quelques partenaires triés sur le volet, avait déjà valu à l’entreprise l’accusation de faire commerce de la peur qu’inspire sa propre technologie.
Les chiffres que la coupure met à l’arrêt
Étaient revendiquées des milliers de failles trouvées en autonomie, dont une de vingt-sept ans dans OpenBSD et une de seize ans dans FFmpeg qu’aucun test automatisé n’avait vue, et 83,1 % sur un banc d’essai de reproduction de failles contre 66,6 % pour Opus 4.6. Le bilan d’étape du 22 mai donne l’échelle : 6 202 vulnérabilités estimées de sévérité haute ou critique dans plus de mille projets open source sur 23 019 signalements, 1 587 vrais positifs sur 1 752 dossiers réévalués, et la CVE-2026-5194 dans wolfSSL, forge de certificats sur des milliards d’appareils. Le contournement incriminé, lui, portait sur quelques failles mineures connues.
L’Europe dans le programme, la France à la porte
Onze jours avant la directive, le 2 juin, Glasswing s’étendait à environ 150 organisations dans plus de quinze pays, de l’Australie à la Corée du Sud, ouvert à l’énergie, l’eau, la santé et les communications. Okta, Samsung, SK Hynix, SK Telecom, l’OTAN et l’ENISA y figurent, et pour la plupart une attaque majeure toucherait plus de cent millions de personnes. Une interdiction visant toute personne étrangère écarte l’Alliance atlantique et l’agence cyber de l’Union du dispositif qu’on venait de leur confier.
La France est comptée parmi les pays représentés sans que l’État y ait accès : aucun service public français n’est en mesure d’utiliser ce logiciel. Orange et le Crédit Agricole avaient ouvert des discussions pour obtenir Mythos, quand seule la version bridée leur était vendue. La coupure les prive d’un outil convoité, et l’agence européenne d’un outil déjà en service.
Un affrontement ouvert depuis février
La coupure ne tombe pas dans un ciel serein. Un contrat de juillet 2025 avait fait de Claude le premier modèle de frontière autorisé sur les réseaux classifiés, sous une politique d’usage excluant la surveillance de masse des Américains et les armes létales pleinement autonomes. Le Pentagone a exigé le 27 février 2026, à 17h01, un accès à toutes fins licites et sans limitation ; devant le refus, Donald Trump a ordonné aux agences fédérales de cesser tout usage de cette technologie.
Pete Hegseth, secrétaire à la Défense, a désigné l’entreprise comme risque pour la chaîne d’approvisionnement et interdit à tout contractant militaire la moindre activité commerciale avec elle, certaines agences ayant six mois pour s’en sevrer. Sept mois plus tôt, le même département lui accordait, comme à Google, OpenAI et xAI, un contrat pouvant atteindre 200 millions de dollars.
Le 9 mars, l’entreprise dépose deux recours, une plainte civile en Californie du Nord et une requête devant la cour d’appel fédérale du district de Columbia, sur cinq chefs : violation de l’Administrative Procedure Act, représailles contre une expression protégée, atteinte au Premier Amendement et au due process, annulations de contrats.
Le 26 mars, la juge Rita Lin suspend la désignation, la directive présidentielle et l’interdiction faite aux contractants, jugeant orwellienne la théorie du gouvernement. Fin avril, un panel de trois juges du district de Columbia refuse au contraire le sursis demandé et fixe les plaidoiries au 19 mai, où ils ont paru divisés. La décision n’est pas rendue : si la désignation tombe, la lettre du 12 juin apparaîtra comme un rapport de force poursuivi autrement ; sinon, l’exécutif gagnera une marge difficile à entamer.
Le vide réglementaire et les précédents qui l’éclairent
Une règle générale a pourtant existé. Publié le 15 janvier 2025, le Framework for Artificial Intelligence Diffusion soumettait à licence mondiale certains circuits de calcul avancés et les poids de modèles, avec dix-huit alliés dispensés, les pays sous embargo d’armes exclus et un plafond pour tous les autres. Le 13 mai, deux jours avant l’échéance, le Bureau of Industry and Security l’abroge : elle « aurait étouffé l’innovation américaine ». Avoir écarté la norme, c’est s’être condamné aux courriers individuels.
Les crypto wars, quatre ans pour trancher
Le précédent le plus proche est le chiffrement fort, classé en munitions au titre de l’Arms Export Control Act et de l’ITAR. Phil Zimmermann publie PGP en 1991 et subit trois ans d’enquête criminelle pour exportation d’armes, close sans suite en janvier 1996. Daniel Bernstein attaque l’État en février 1995, le district juge les règles inconstitutionnelles en août 1997, le neuvième circuit confirme en mai 1999 que le code source est protégé, et les contrôles s’effondrent en 2000.
Un interrupteur déjà actionné en Europe
Au printemps 2025, le procureur de la Cour pénale internationale Karim Khan perdait l’accès à sa messagerie hébergée par un éditeur américain, après les sanctions de février contre la juridiction ; il bascula vers un fournisseur suisse, ses comptes bancaires furent bloqués et ses équipes averties d’un risque d’arrestation aux États-Unis. L’éditeur a contesté avoir suspendu ses services à la Cour, sans dissiper la question de fond : une décision américaine, un fournisseur exposé, un utilisateur européen sans recours.
Anthropic revendiquait début mai plus de 47 milliards de dollars de chiffre d’affaires annualisé, contre neuf milliards fin 2025, et a déposé son dossier d’introduction en bourse : la coupure est un événement de marché autant qu’un incident technique. La restriction porte cette fois sur les modèles eux-mêmes et non sur les seuls semi-conducteurs, et déplace la souveraineté du matériel vers le service.
L’entreprise en résume la portée : « si ce standard était appliqué à l’ensemble de l’industrie, nous pensons qu’il arrêterait de fait tout nouveau déploiement de modèle chez tous les fournisseurs de modèles frontière ». Deux chemins s’ouvrent : une doctrine explicite énonçant ce qui déclenche une licence, et la prévisibilité perdue en mai 2025 revient ; ou une appréciation discrétionnaire, et il devient rationnel de sortir les systèmes les plus capables ailleurs.
Le risque réglementaire ne porte plus sur les données d’entraînement ni sur les droits d’auteur, mais sur l’autorisation d’exister d’un produit fini, et se règle par un courrier plutôt que par une norme. Pour qui bâtit sur des services distants, la dépendance se mesure moins au contrat qu’à la juridiction du prestataire, exposition absente de toute fiche technique. Trois heures ont suffi entre la lettre et l’extinction, sur des modèles présentés trois jours plus tôt comme les plus capables jamais rendus publics.
Aller plus loin
Le document primaire de l’affaire, la déclaration d’Anthropic sur la directive suspendant l’accès à Fable 5 et Mythos 5, donne l’heure exacte de réception, reconnaît que le courrier ne détaille pas la préoccupation de sécurité nationale invoquée, qualifie le contournement d’étroit et non universel, et formule l’argument de portée industrielle repris ensuite partout.
Trois jours avant la coupure, l’annonce de lancement de Claude Fable 5 et Claude Mythos 5 expose un dispositif plus fin que la lecture reçue : trois classifieurs, un repli vers Opus 4.8 sur moins de 5 % des sessions, un accès à Mythos réservé aux partenaires cyberdéfense, une rétention à trente jours assumée comme instrument de détection et un retrait des formules par siège fixé au 23 juin.
L’échelle de la capacité en cause se lit dans le bilan d’étape de Project Glasswing publié le 22 mai : 6 202 vulnérabilités estimées de sévérité haute ou critique dans plus de mille projets open source sur 23 019 signalements, 1 587 vrais positifs sur les 1 752 dossiers confiés à des cabinets indépendants, une faille de wolfSSL permettant de forger des certificats sur des milliards d’appareils.
Le paradoxe le plus concret tient au compte rendu de l’extension de Claude Mythos aux infrastructures critiques de plus de quinze pays, publié onze jours avant la directive : l’OTAN et l’agence européenne de cybersécurité venaient d’entrer dans un programme qu’une interdiction visant toute personne étrangère referme sur elles.
Le pouvoir mobilisé tient en quelques lignes de l’Export Control Reform Act codifié à 50 U.S. Code § 4817, qui autorise des contrôles intérimaires sur les technologies émergentes et fondamentales en informant une personne nommée qu’une licence lui est désormais nécessaire, sans règle préalable ni consultation publique. On y mesure pourquoi l’instrument frappe une entreprise et jamais un secteur.
La définition qui permet d’atteindre les salariés étrangers présents sur le sol américain figure au 15 CFR § 734.13 sur l’export réputé, dont l’alinéa (a)(2) contient le détail le plus rarement cité du dossier : le régime vise la technologie et le code source, mais pas le code objet, seul élément qu’expose un service interrogé par API.
Le conflit préexistant se reconstitue avec l’analyse consacrée aux recours déposés par Anthropic contre le Département de la Défense, qui détaille les cinq chefs de la plainte du 9 mars 2026 et les deux lignes rouges, surveillance de masse et armes létales autonomes, à l’origine de la mise à l’index de février.
Le précédent structurant se lit dans le dossier rassemblé par l’Electronic Frontier Foundation sur Bernstein contre le Département de la Justice, quatre années de procédure au terme desquelles le neuvième circuit a jugé en mai 1999 que le code source relève de l’expression protégée, avant que les contrôles ne cèdent l’année suivante.
Le versant scientifique est tenu par le Catastrophic Cyber Capabilities Benchmark, qui mesure la chaîne offensive complète d’un agent, de la reconnaissance à l’exploitation, et dont les auteurs assument un objectif révélateur : réduire l’écart entre des capacités qui progressent vite et des évaluations d’offensive cyber trop fragiles pour fonder une décision.
Lus ensemble, ces documents décrivent une décision prise sans instrument de mesure, dans un cadre juridique conçu pour des marchandises et appliqué à un service, par un pouvoir que son détenteur avait lui-même privé de règle générale un an plus tôt. Les textes réglementaires en délimitent la portée, les rapports techniques le coût défensif, et le précédent du chiffrement rappelle que ces affrontements se règlent moins par la doctrine que par le temps judiciaire.