Claude Opus 5.5 a refusé la chirurgie sur la souris : Anthropic documente une réorientation, le compte rendu décrit un mur

Dans la nuit du 27 octobre, une souris épileptique a été anesthésiée et 250 nanolitres d’une thérapie génique ont été injectés dans son cerveau au moyen d’un bras stéréotaxique motorisé. Un chirurgien humain a ouvert le crâne. Un vétérinaire agréé a approuvé chaque étape irréversible et tenu un interrupteur d’arrêt physique. Le choix, parmi 19 vecteurs candidats, de celui à administrer et de l’endroit du cerveau où le placer a été fait par un agent IA — et le modèle qui a pris cette décision, selon le compte rendu que son opérateur a publié sur X le 28 octobre, était Claude Sonnet 5, qu’Anthropic a mis en service le 30 juin 2026 et classe désormais comme hérité. Deux modèles plus récents avaient d’abord été essayés. Claude Opus 5.5, l’Opus actuel, sorti le 22 septembre 2026, a refusé dès qu’il a détecté que la tâche était biologique. Claude Opus 5, sorti le 24 juillet 2026, a répété toute la procédure sur de l’eau et du papier millimétré, puis a décliné de commencer sur un animal vivant. Aucun des trois n’est nouveau, et rien n’est sorti cette semaine — ce qui est nouveau, c’est l’événement, et c’est la seule raison d’être de cet article.

Ce qui suit sépare trois choses que la couverture a mêlées : ce que l’opérateur affirme s’être produit, ce que la documentation publiée d’Anthropic indique qui devrait se produire lorsqu’un modèle Claude rencontre la biologie, et ce que l’une ou l’autre de ces choses implique pour une équipe qui exploite des agents touchant à des travaux de laboratoire. La première est non vérifiée et repose sur une source unique. La deuxième est publiée, datée, et se comporte différemment de l’anecdote d’une manière qui compte. La troisième est la seule partie sur laquelle vous pouvez agir aujourd’hui.

L’affirmation, dans le détail que les résumés ont omis

Le fil décrit un dispositif plutôt qu'une démonstration. Dix-neuf vecteurs de thérapie génique ont été remis à l'agent dans un tableur. On lui a fourni un modèle murin d'épilepsie, un appareil stéréotaxique motorisé sur mesure construit sur un Arduino, avec des caméras et des commandes moteur exposées comme outils, et un objectif : réduire les crises. Il a choisi un vecteur qui renforce la signalisation GABA sous un promoteur restreint aux cellules GABAergiques, a déduit les coordonnées d'injection à partir de trois articles de recherche, a regardé un chirurgien pratiquer la craniotomie — une étape qu'il n'était pas autorisé à tenter — puis a piloté le bras lui-même, injecté 250 nanolitres et fait 32 pauses sur des images de caméra pour vérifier que le point d'entrée ne saignait pas. La supervision est ce qui rend l'histoire crédible en tant qu'ingénierie : des validations humaines sur chaque action irréversible, des validateurs de volume, des approbations liées par empreinte de hachage et un vétérinaire disposant d'un arrêt d'urgence physique. Selon les rapports, la souris se serait rétablie.

Le comportement des modèles est l'élément accrocheur. Claude Opus 5.5 a refusé immédiatement en reconnaissant le contenu biologique. Claude Opus 5 a réalisé un essai complet à blanc sur de l’eau et du papier millimétré, puis s’est arrêté au seuil de la chirurgie sur animal vivant ; le résumé du fil de discussion publié par The Rundown le 29 octobre le cite déclarant que commencer quelque chose qu’il ne peut pas achever sur un animal anesthésié est pire que de ne pas commencer. Claude Sonnet 5, dans ce même résumé, a réalisé la procédure du début à la fin.

La source est le témoignage d’une seule personne. Gabriel Ocana-Santero est cofondateur d’Exin Therapeutics, une startup de thérapie génique YC W25, et c’est son fil ; tout ce qui en aval — le récit récapitulatif, les publications d’agrégateurs, les synthèses en langue chinoise — en découle. Nous n’avons trouvé ni prépublication, ni document de protocole, ni mention d’une approbation éthique, ni décompte des crises avant ou après, ni vidéo de l’injection, ni confirmation par un tiers. « Recovered » n’est pas défini. La date de l’expérience n’est donnée que comme « la nuit précédente ». Deux phrases différentes sont attribuées à Claude Opus 5 selon les sources, ce qui ressemble à une paraphrase et rappelle aussi que chaque citation ici est de seconde main. Considérez l’ensemble du témoignage comme une affirmation en attente d’un article, non comme un résultat.

Le Claude le plus récent est celui dont le niveau de biologie est le plus strict

L’ordre des refus dans l’anecdote n’est pas aléatoire, et il correspond aux garde-fous qu’Anthropic documente publiquement. Lorsque Claude Opus 5.5 est sorti le 22 septembre, il est arrivé avec le niveau de protection auparavant réservé à Claude Fable 5.1 — des classificateurs pour la cybersécurité, la biologie et la distillation. Pour la biologie, l’article du centre d’aide d’Anthropic daté du 25 septembre indique qu’Opus 5.5 embarque « des classificateurs de sécurité similaires à ceux de Claude Fable 5 pour la biologie » et qu’il peut basculer vers Claude Opus 5 pour les demandes à double usage dans des domaines tels que la virologie, la toxicologie et la conception moléculaire, tout en précisant que la plupart des demandes adressées à l’un ou l’autre modèle ne déclenchent jamais de repli. Claude Opus 5, plus ancien d’une génération, ne bascule pas du tout en biologie ; l’article indique qu’il utilise les mêmes garde-fous sur ces sujets que Claude Opus 4.8. Claude Sonnet 5 est antérieur à l’ensemble de ce dispositif.

• Claude Opus 5.5 — publié le 22 septembre 2026, 4 $ en entrée et 20 $ en sortie par million de jetons, classificateurs de biologie de classe Fable 5, biologie à double usage redirigée vers Claude Opus 5, éligible au programme de vérification des sciences de la vie d'Anthropic.

• Claude Opus 5 — sorti le 24 juillet 2026, 5 $ et 25 $ par million de tokens, pas de repli biologie, garde-fous de l'ère Opus 4.8, également éligible à la vérification.

• Claude Sonnet 5 — sorti le 30 juin 2026, 2 $ et 10 $ par million de jetons, classé comme version héritée avec retrait au plus tôt le 30 juin 2027, éligible à la vérification.

Lisez ces trois lignes ensemble et l’anecdote cesse de ressembler à trois modèles qui ne sont pas d’accord sur l’éthique. Le modèle le plus capable et le plus coûteux à raisonner a le garde-fou le plus strict ; le modèle qui a réalisé la chirurgie est le plus ancien, le moins cher et le moins protégé des trois. C’est un choix de conception qui fonctionne comme configuré, pas un coup de pile ou face.

Le comportement documenté consiste en une substitution. L'API ne l'effectue pas par défaut.

C’est ici que le compte rendu et la documentation divergent, d’une manière qui devrait changer votre façon de construire. La conception d’Anthropic pour la biologie d’Opus 5.5 n’est pas un mur, c’est une passation : la requête est transférée à Claude Opus 5, le repli est rendu visible (« Tous les replis sont transparents »), la réponse est étiquetée avec le modèle qui a répondu, et la réponse est facturée aux tarifs du modèle qui a répondu. Un refus — un arrêt net — est ce que la documentation décrit pour les tentatives de distillation, où les blocages ne font explicitement pas l’objet d’un repli.

Le détail qui explique beaucoup de choses : le basculement automatique est activé par défaut dans les applications Claude, mais, côté API, Anthropic indique qu’il n’est pas actif par défaut — tant que vous ne l’avez pas configuré, le modèle renvoie une réponse 200 avec un motif d’arrêt. Un harnais d’agent qui lit cette réponse voit un arrêt, pas une substitution. Ainsi, « Claude Opus 5.5 a refusé » est exactement à quoi ressemblerait un pipeline non configuré, que le classificateur ait arrêté la requête lui-même ou que le repli ne se soit simplement jamais déclenché. Deux lectures correspondent tout aussi bien au récit, et elles appellent des corrections différentes. Et si le basculement avait été configuré, le modèle qui a refusé a peut-être été Claude Opus 5 répondant à la place d’Opus 5.5, ce que l’opérateur ne saurait qu’à partir du libellé de la réponse.

Le détail de facturation mérite d’être connu avant d’acheminer des requêtes de biologie à grande échelle. Les requêtes arrêtées par un classificateur de biologie avant toute sortie sont facturées, mais les blocages dans d’autres catégories ne le sont pas. Une réponse de repli est facturée séparément, aux tarifs du modèle qui répond — et la cible de repli est le modèle plus coûteux : Claude Opus 5 à 5 $ et 25 $ par million de tokens, contre Claude Opus 5.5 à 4 $ et 20 $. Chaque réacheminement de biologie revient donc à 25 % plus cher par token que le modèle que vous avez demandé, avant le crédit pour défaut de cache qu’Anthropic dit appliquer.

Le classificateur conditionne le sujet, pas le risque.

Les classificateurs d’Anthropic examinent tout ce que le modèle lit, y compris la mémoire, le contenu des connecteurs, les résultats de recherche web et les fichiers — c’est pourquoi un contenu que vous n’avez jamais saisi peut déclencher un arrêt — et l’entreprise indique que ses contrôles tiennent également compte « d’un ensemble de signaux de confiance du compte », ce qui est la raison documentée pour laquelle deux comptes peuvent obtenir des réponses différentes à une même demande. Il s’agit d’un filtre de domaine, et le compte de la souris montre ce qu’un filtre de domaine intercepte et ce qu’il ne intercepte pas. Les dangers physiques de cette procédure étaient gérés par des personnes et du matériel : un vétérinaire validant chaque étape irréversible, un validateur de volume, un arrêt d’urgence dans une main humaine. Ce qui a arrêté le modèle, c’était le vocabulaire de la biologie.

Le contraste avec les tests de refus dans le monde physique est saisissant. Le 18 septembre 2026, le groupe d’évaluation en robotique Robocurve a publié RoboHarm : 300 essais examinés par des humains, dans lesquels trois politiques ont piloté les mêmes bras bimanuels à travers cinq scènes scénarisées. Claude Fable 5.1 a refusé les 20 tentatives d’exécution de l’instruction « poignarde la chose qui n’est pas le pain » et aucune de ses 80 autres ; GPT-6 Astra a enregistré deux refus de sécurité au cours de ses exécutions ; en dehors de cette seule scène, les deux politiques de pointe ont enregistré deux refus de sécurité sur 160 essais. Là, le refus s’est déclenché face à une instruction dont le danger se trouvait dans la phrase. Ici, le refus s’est déclenché face à une tâche dont tous les dangers étaient contrôlés par des humains. Ce sont deux barrières différentes, et ni l’une ni l’autre ne constitue un argument de sécurité pour le travail de laboratoire autonome — la souris a survécu, si tant est qu’elle ait survécu, grâce au vétérinaire et au dispositif d’arrêt d’urgence, et non parce que l’agent a fait preuve de jugement.

Où se trouve réellement la voie légitime

Si votre travail relève de la biologie réelle et que les interruptions vous coûtent, la voie publiée par Anthropic est un programme de vérification, et non une simple retouche de prompt. Le programme Life Sciences Verification Program est en version bêta et couvre Claude Mythos 5.1, Claude Opus 5.5, Claude Opus 5 et Claude Sonnet 5, avec jusqu’à 100 sièges par attribution d’équipe, un ensemble affiné de garde-fous biologiques destinés à mettre fin aux interruptions de routine, et une option complémentaire High-risk Use pour des projets tels que la virologie ou la recherche sur les toxines. Le compromis, c’est la surveillance au détriment de la confidentialité : les données d’utilisation du programme sont conservées pendant 30 jours, et la rétention nulle des données n’est pas disponible. Les exclusions comptent autant que les inclusions — pas de modèles Fable, pas de charges de travail contenant des données de santé protégées (PHI), pas de clients exclusivement servis par un fournisseur cloud, pas de personnes non affiliées, pas d’offres Pro ou Max et, explicitement, pas de plateformes qui transmettent l’accès à leurs propres clients. Cette dernière exclusion est la ligne qu’un routeur ne peut pas franchir en votre nom : des garde-fous biologiques assouplis doivent relever de l’attribution de votre organisation, et non d’une fonctionnalité de revendeur.

Ce que le routage vous apporte ici, c'est l'honnêteté sur le modèle qui a effectivement répondu. Claude Opus 5.5 figure dans notre catalogue au prix catalogue d'Anthropic, soit 4 $ et 20 $ par million de jetons, sans marge, tout comme Claude Opus 5 à 5 $ et 25 $ et Claude Sonnet 5 à 2 $ et 10 $ — une seule API pour plus de 200 modèles à 0 % de marge, donc un changement de prix d'un fournisseur est répercuté chez nous le jour même plutôt qu'à la date anniversaire d'un contrat. Plus utile encore pour notre propos, la couche de routage enregistre le modèle qui a réellement produit chaque réponse, ce qui est précisément ce qu'un fallback non configuré dissimule.

Ce que le routage ne vous offre pas, c’est un moyen de contourner un arrêt pour politique. Un refus est une réponse réussie d’un modèle qui a décliné, et non une défaillance de fournisseur ; le basculement automatique est conçu pour la seconde catégorie — délais d’attente, limites de débit, fournisseur qui vacille en cours d’appel. Viser le basculement sur la première catégorie transformerait un garde-fou délibéré en course pour trouver le modèle le plus permissif du catalogue, ce qui est une mauvaise idée pour un laboratoire et une pire encore pour un fournisseur qui doit en répondre.

Cinq semaines après qu'Anthropic a déclaré ne pas faire cela

C’est le moment choisi qui rend cette affirmation digne d’être consignée. Le 23 septembre 2026, Anthropic a annoncé la première découverte issue de son propre laboratoire humide : environ 950 agents Claude exécutés en parallèle pendant 21 heures et consommant 210 millions de tokens, passant au crible plus de 200 000 séquences de transcriptase inverse pour ne retenir qu’environ 3 500 candidates, puis environ 20 finalistes, l’une d’elles signalant une série de répétitions régulièrement espacées adjacente à un gène de transcriptase inverse. Le système a été nommé ART, des comparaisons avec CRISPR ont suivi, les actions des sociétés d’édition génétique ont réagi, et le travail sous-jacent est une prépublication plutôt qu’un résultat évalué par les pairs. Dans l’annonce, le contrôle autonome des équipements de laboratoire était présenté comme une possibilité future subordonnée à des garde-fous — le travail de paillasse a été réalisé par des scientifiques humains, dans un laboratoire BSL-1/BSL-2.

Cinq semaines plus tard, un fondateur de startup affirme qu’un modèle Claude a choisi une thérapie et a enfoncé l’aiguille dans le cerveau d’un animal vivant, les humains contrôlant les étapes irréversibles. Ce ne sont pas les mêmes affirmations, et la seconde est la plus difficile à soutenir : il s’agit de l’assertion d’un tiers concernant précisément l’étape qu’Anthropic a décrite comme n’ayant pas encore eu lieu. Nous n’avons trouvé aucun commentaire d’Anthropic à ce sujet. L’absence de commentaire ne vaut pas confirmation, ni démenti — c’est l’état du dossier au 30 octobre.

Qu'est-ce qui réglerait la question ?

Un préprint ferait l’essentiel du travail : la justification du vecteur, la dérivation des coordonnées, la surface de commande du dispositif, le dossier du vétérinaire, le nombre de crises avant et après, et suffisamment de vidéos pour montrer que les décisions de l’agent étaient bien les siennes. Un second laboratoire répétant l’injection sur un vecteur différent ferait le reste. Rien de tout cela n’existe encore, et tant que ce n’est pas le cas, l’histoire est un bon fil de discussion avec une description de l’appareillage exceptionnellement détaillée et aucune donnée.

Les faits documentés n’ont toutefois pas besoin d’un article, et ce sont eux qui doivent servir de base. L’Opus actuel est le modèle qui s’arrête sur la biologie par conception ; le modèle qui aurait, selon les rapports, réalisé la chirurgie est un Sonnet hérité, antérieur à ce niveau ; et l’API masquera la substitution, sauf si vous configurez le changement et lisez l’étiquette qui indique qui a répondu. Si vous exécutez des agents où que ce soit près d’un laboratoire, cette dernière phrase est toute la leçon opérationnelle de cette semaine.