Claude au cœur de la chaîne d’intrusion : le rapport sur les menaces de septembre 2026 d’Anthropic

Anthropic a publié son quatrième rapport de renseignement sur les menaces, Détecter et contrer l’usage abusif de l’IA : septembre 2026, le 10 septembre 2026. Le document de 154 pages couvre les activités que son équipe Threat Intelligence a perturbées entre décembre 2025 et août 2026, et son chiffre le plus concret en matière de préjudice tient en un seul paragraphe : un acteur d’espionnage qu’Anthropic suit sous le nom de GTG-20006, dont l’attribution est décrite dans le rapport comme « conforme aux rapports publics liant cet acteur à Midnight Blizzard », a volé des identifiants VPN à une autorité technologique gouvernementale d’Afrique du Nord, a pris le contrôle de son serveur central de comptes et est reparti avec plus de 300 000 dossiers d’identité nationale et les données du registre du commerce de plus d’un demi-million d’entreprises. La fiche d’archive de cette divulgation, avec son niveau de confiance et les entrées consignées autour d’elle, est conservée dans l’Orca AI Incident Archive.

Le rapport est celui d’un fournisseur qui révèle un usage abusif de son propre produit, ce qui en détermine à la fois la valeur et les limites. Il s’agit d’un compte de première main — la télémétrie d’Anthropic, les suspensions de comptes prononcées par Anthropic, les jugements d’Anthropic sur l’identité de l’interlocuteur — et aucun auditeur externe n’a vérifié ses chiffres. Le reste de cet article distingue quatre choses : ce que le rapport dit avoir observé, ce qu’il ne fait qu’attribuer, ce qui est contesté, et ce que le résumé de l’archive affirme que le document ne contient pas.

Ce qui a été publié, et ce que cela couvre

Détecter et contrer l’usage abusif de l’IA : septembre 2026 est daté du 10 septembre 2026 sur sa couverture et compte 154 pages, avec des listes d’indicateurs de compromission pour nombre de ces cas. Il fait suite aux rapports antérieurs d’Anthropic de mars, août et novembre 2025, et couvre sept domaines de préjudice : opérations cyber, opérations d’influence, surveillance, armes conventionnelles, usage biologique abusif, arnaques et fraude, et distillation illicite.

Les modèles concernés étaient Claude Haiku, Claude Sonnet et Claude Opus. Anthropic déclare qu'aucun des cas d'utilisation abusive n'impliquait Claude Fable ni des modèles de classe Claude Mythos, à l'exception d'un cas de distillation illicite. Les acteurs vont de « groupes soupçonnés d'être parrainés par des États, criminels à motivation financière, fournisseurs de logiciels espions commerciaux, institutions de propagande d'État et individus à motivation politique ».

Les études de cas comportent des libellés internes — des désignateurs GTG, que le rapport définit comme « les désignateurs internes d’Anthropic pour les acteurs observés en train d’abuser de l’IA ». Ce sont des conventions de nommage, et non des conclusions juridiques, et ils constituent le seul identifiant dont disposent la plupart de ces acteurs.

La thèse analytique d’Anthropic est plus restrictive que le nombre de cas : l’IA aurait « comblé l’écart de main-d’œuvre et d’outillage » entre les opérations étatiques et les opérateurs individuels, et « la sophistication ne serait plus un signal fiable pour savoir qui est à l’origine d’une opération ». Le rapport mesure ce qu’il appelle l’uplift — rapidité, échelle et profondeur — et assortit ses propres études de cas de deux réserves : les humains « ont conservé les décisions qui comptent le plus pour eux », notamment le choix des cibles et la manière dont les données volées sont monétisées, et « l’autonomie et le préjudice sont des axes distincts ».

Les 300 000 dossiers d’identité : GTG-20006

GTG-20006 est le cas qui porte le numéro de l’enregistrement. Anthropic décrit un opérateur russophone utilisant le pseudonyme « JackPoterz » et indique que son attribution est « cohérente avec les rapports publics liant l’acteur à Midnight Blizzard » — une comparaison avec l’attribution faite par d’autres plutôt qu’une confirmation indépendante, et le rapport ne précise pas de quels rapports il s’agit.

L’intrusion qui a produit ce chiffre ciblait une autorité gouvernementale nord-africaine chargée de la technologie. Selon le rapport, l’acteur a volé les identifiants d’accès à un appareil VPN, les a utilisés pour prendre le contrôle du serveur central de comptes de l’organisation, puis a exfiltré depuis celui-ci « l’intégralité de sa base de données d’identifiants : plus de 300 000 dossiers d’identité nationale, ainsi que les données du registre du commerce de plus d’un demi-million d’entreprises opérant dans le pays ». Ces dossiers appartenaient à un organisme gouvernemental, et les personnes qui y figurent n’ont aucun lien avec le fournisseur d’IA dont il est question dans cette histoire.

La campagne de plus grande ampleur du même acteur a touché « plus de 20 organisations distinctes » — des ministères, des organismes de défense et de renseignement, des ambassades, des groupes de réflexion et des entreprises de l’industrie de défense, concentrés en Ukraine et en Europe mais s’étendant au Moyen-Orient et à des agences maritimes en Asie. Parmi les éléments précis :

• Wi-Fi de l’hôtel : l’acteur a compromis au moins trois prestataires du secteur hôtelier qui exploitent le Wi-Fi des clients, puis a modifié les enregistrements DNS afin que le trafic des clients, les identifiants d’appareils et les adresses IP soient dirigés vers des serveurs contrôlés par l’acteur. Microsoft Threat Intelligence a publié en juillet 2026 un rapport sur cette même méthode de vol et de livraison sous le nom de CaptiveCrunch, que cite le rapport d’Anthropic.

• WhatsApp : les comptes des victimes ont été associés en tant qu’appareils compagnons à l’aide de navigateurs headless et de la bibliothèque d’automatisation open source WPPConnect, les accusés de lecture étant désactivés pendant que les conversations en russe et en ukrainien étaient exportées en masse. Au moins deux anciens hauts responsables ukrainiens ont été ciblés de cette manière.

• Drones : les boîtes mail d'au moins deux fabricants de composants de drones ont été exportées en masse, et un kit de développement logiciel propriétaire complet pour un système de vision de drone a été volé et rétro-ingénieré pendant plusieurs jours.

• Évasion : des agents de surveillance vérifiaient si les implants déployés étaient détectés et, lorsqu'ils l'étaient, les agents modifiaient et reconstruisaient le logiciel malveillant jusqu'à ce qu'ils ne le soient plus.

La conclusion d’Anthropic concernant la boucle d’évasion est qu’elle inverse l’avantage du défenseur. « L’IA a réinversé le coût sur les défenseurs », indique le rapport, car une nouvelle détection n’achète plus de temps lorsqu’un adversaire compétent peut se reconstruire plus vite que la signature n’est déployée.

Le deuxième cas lié à l’État : GTG-10007

GTG-10007 est l’autre cas du rapport comportant un cadrage étatique explicite, et le plus inhabituel. Anthropic décrit des opérateurs sinophones « résidant probablement à Changsha, dans la province chinoise du Hunan », dont deux étudiants en licence dans une université locale, en génie informatique et des communications ; l’un avait effectué un stage chez l’entreprise de sécurité Sangfor et passait des entretiens chez QiAnXin pour un poste en sécurité offensive.

Le groupe a ciblé environ cinquante organisations dans les secteurs de l’éducation, du commerce de détail, de l’énergie, de la technologie, de la santé, de la finance, de l’industrie manufacturière et du gouvernement. Anthropic affirme avoir extrait des centaines de mégaoctets de données personnelles d’étudiants depuis le stockage cloud d’une entreprise de technologie éducative, atteint des systèmes de production chez un détaillant, et récupéré des dossiers de citoyens — noms, numéros de téléphone et adresses de domicile — auprès d’une agence gouvernementale d’Asie du Sud-Est.

Ce qui le distingue, c’est le travail sur les vulnérabilités : un programme de recherche permanent ciblant une catégorie de logiciels de sécurité « déployés spécifiquement pour détecter les intrusions », qui, selon Anthropic, a produit de multiples vulnérabilités jusque-là inconnues, validées par l’acteur dans son propre laboratoire, des exploits fonctionnels pour plusieurs familles d’appareils réseau et de sécurité, et « plus d’une douzaine de possibles découvertes de type zero day en un seul mois » issues d’un flux de travail en itération continue. Une flotte distincte de treize agents de collecte s’exécutait selon un calendrier sur des documents publics militaires et gouvernementaux, sans aucune intervention humaine.

Anthropic ne nomme ni les produits de sécurité, ni les vulnérabilités, ni l'agence gouvernementale, et le rapport ne relie pas ses conclusions à un identifiant CVE publié.

La moitié criminelle : le vol de données et les clés API comme charge utile

La section cyber ne se limite pas à l’espionnage. Parmi les plusieurs groupes à motivation financière, le plus important est attribué à des opérateurs qu’Anthropic décrit comme des affiliés présumés du collectif ShinyHunters, suivis sous le nom de GTG-50014. Le rapport donne leur ampleur sans détour :

• Le pipeline d’identifiants d’un opérateur a téléchargé en masse 1,8 million d’APK Android distincts, les a décompilés et analysés à la recherche de secrets codés en dur, en acheminant les résultats vérifiés vers un groupe Telegram organisé en plus de 100 types de secrets.

• Un affilié a déversé plus de 2 100 jeux de jetons Azure AD couvrant plus de 40 locataires d'entreprise en environ 34 heures, après avoir compromis un fournisseur SaaS et atteint environ 200 de ses organisations clientes en aval.

• Une compromission chez un fournisseur de technologie a permis d’obtenir plus d’un téraoctet de données, dont des centaines de milliers d’identifiants nationaux et des millions d’enregistrements de cartes de paiement, mises en ligne sur un site web public « pour faire pression sur la victime afin qu’elle paie une rançon ».

• Dans une compagnie aérienne, les acteurs ont accédé à des systèmes contenant des dizaines de millions de dossiers de passagers ; dans une entreprise du secteur de l’énergie, ils ont affirmé pouvoir contrôler à distance le courant de charge des bornes de recharge domestiques pour véhicules électriques des clients.

GTG-50029, un seul hacktiviste francophone, a atteint au moins 14 des 42 cibles européennes suivies parmi les acteurs politiques, les médias et les think tanks, a exfiltré entre 12 et 26 Go estimés de dumps de bases de données et a récupéré environ 140 000 enregistrements incluant les opinions politiques des utilisateurs — tout en construisant une plateforme de doxxing chargée de dizaines de millions de lignes de données compromises.

Le fil conducteur qui traverse les affaires financières, c'est que l'accès à l'IA est lui-même devenu un butin. Les opérateurs ont volé des clés API Anthropic dans les environnements des clients et exécuté leurs propres charges d'attaque aux frais d'autrui — ce que le rapport appelle appliquer le « living off the land » à l'IA. Anthropic est explicite quant à la limite : « Dans chaque cas, les clés API concernées ont été volées dans les environnements des clients d'Anthropic. Les systèmes propres d'Anthropic n'ont pas été compromis par cet acteur. » GTG-50020, une équipe russophone passée des intrusions dans la réservation hôtelière à l'industrie de l'IA, a attaqué une trentaine d'entreprises d'IA en quatre jours environ ; son objectif déclaré était d'accéder à un modèle Claude en préversion et, selon le rapport, « l'acteur n'a jamais obtenu cet accès ».

Établi, attribué, contesté, absent

Établi. Le rapport existe, est daté du 10 septembre 2026 et compte 154 pages. Ses récits d’intrusion, ses listes d’indicateurs et ses mesures d’interdiction constituent le propre compte rendu de première main d’Anthropic, et des médias indépendants — The Next Web le jour de la publication, Digital Watch Observatory et des notes de recherche de la Cloud Security Alliance — décrivent le même document, les mêmes sept domaines de préjudice et les mêmes détails de GTG-20006. Aucun média n’a publié sa propre reconstruction forensique de l’intrusion en Afrique du Nord, de sorte que le chiffre de 300 000 repose sur la télémétrie d’une seule entreprise.

Attribué. L'établissement du lien avec un État relève de l'évaluation d'Anthropic, nuancée dans son propre texte : « cohérent avec les informations publiques reliant l'acteur à Midnight Blizzard ». La localisation à Changsha, les antécédents professionnels des étudiants et le cadrage étatique des affaires en langue chinoise sont également des caractérisations d'Anthropic, et non une attribution gouvernementale. La couverture de The Next Web cite le responsable du renseignement sur les menaces d'Anthropic, Jacob Klein, dans des entretiens avec Axios et The New York Times, mais ne fait intervenir aucun expert extérieur pour évaluer les chiffres.

Contesté. La section sur la distillation est le seul endroit où une partie accusée a répondu. Anthropic affirme avoir découvert « d’autres attaques par distillation contre Claude provenant de sept laboratoires basés en Chine » et décrit, entre autres, Moonshot AI relayant près de 300 000 demandes de clients à Anthropic sur dix jours via 5 380 comptes frauduleux. Pékin a rejeté les allégations américaines liées à la distillation, a rapporté The Next Web. Le registre d’archives classe cet incident comme non contesté ; cet indicateur ne s’étend pas à chaque allégation contenue dans le document.

Absent. Le résumé en une ligne de cette fiche par l’archive indique que le rapport documente l’utilisation de Claude « pour la première fois » pour le triage des victimes et la génération de copies de rançongiciels. Aucune des deux n’apparaît dans les sources citées. Le mot « ransomware » n’apparaît ni dans le PDF de 154 pages ni sur la page web du rapport, et « triage » non plus. L’extorsion décrite dans le rapport repose sur le principe « payer ou fuiter » des données volées, et non sur le chiffrement ; sa seule occurrence du mot « ransom » désigne le fournisseur de technologie dont les fichiers volés ont été exposés publiquement pour forcer le paiement. Considérez ces deux affirmations comme non étayées par les sources citées dans cette fiche. Les 300 000 dossiers d’identité, en revanche, sont mentionnés dans la section GTG-20006 du rapport lui-même.

Ce qu'Anthropic dit avoir fait, et ce qu'elle n'a pas divulgué

Pour chaque cas, le rapport donne une variante de la même réponse : comptes bannis, détection supplémentaire déployée, renseignements partagés avec « les autorités et les partenaires de l’industrie, le cas échéant », et garanties renforcées à partir de ce qui a été appris. La section sur la distillation ajoute des mesures techniques contre la technique de rejeu de signature de raisonnement utilisée pour extraire les traces de raisonnement de Claude.

Ce qui n'est pas divulgué est presque aussi constant : combien de comptes ont été bannis, à quel moment chaque opération a été entravée par rapport à son lancement, quelles autorités ont reçu quels renseignements, et comment les acteurs ont été détectés au départ. Ces omissions sont banales pour un rapport de fournisseur, et c'est aussi pour cela que le document ne peut pas être audité de l'extérieur.

La question réglementaire a été soulevée par d’autres. Une note de recherche de la Cloud Security Alliance publiée après le rapport soutient qu’il ne contient « aucune référence à l’EU AI Act, à l’AI Office ou à l’article 55 », et demande si un usage abusif délibéré par un tiers relève même de la définition d’« incident grave » de l’article 55, qui a été rédigée autour du dysfonctionnement du modèle plutôt que du comportement d’un attaquant. La note reconnaît que les déclarations au titre de l’article 55 ne sont pas publiques, de sorte que le silence ne prouve pas qu’aucune déclaration n’a été faite, et elle indique que la seule déclaration confirmée au titre du régime à ce moment-là était celle d’OpenAI, vers le 7 septembre 2026.

Comment lire les chiffres

Deux éléments rendent les chiffres du rapport plus faciles à utiliser. Le premier consiste à séparer le préjudice de l’autonomie : Anthropic rapporte que plusieurs de ses compromissions les plus graves provenaient d’opérations où un humain dirigeait chaque étape, si bien qu’un cas de faible autonomie n’est pas un cas de faible gravité. Le second consiste à lire les chiffres comme le décompte de ce qu’un seul fournisseur a pu voir. Les 300 000 dossiers d’identité, les 2 100 ensembles de jetons et les 140 000 dossiers d’opinions politiques ont tous été produits par l’entreprise décrivant l’usage abusif de son propre produit, et les acteurs qui n’ont jamais été détectés n’apparaissent dans aucun d’eux.