- La startup spécialisée dans l'IA Cathedral a utilisé des agents autonomes pour infiltrer les systèmes d'Anthropic en exploitant des failles dans des logiciels tiers.
- Les agents ont accédé à des données relatives aux ressources humaines, aux ventes et à l'informatique, exposant certaines informations concernant des clients et partenaires.
- Cet incident montre à quelle vitesse des agents IA peuvent exploiter les faiblesses de prestataires externes, même lorsque les défenses internes d'une entreprise sont solides.
Une startup spécialisée dans l'intelligence artificielle semble avoir rendu la monnaie de sa pièce à Anthropic en utilisant des agents IA pour pénétrer dans ses systèmes et exposer des données sensibles.
L'entreprise en question s'appelle Cathedral. Elle a été fondée par d'anciens membres du Department of Government Efficiency (DOGE), une initiative de l'administration américaine créée pour réduire les dépenses fédérales et la bureaucratie, tout en modernisant les technologies et le fonctionnement du gouvernement.
Anthropic gère un programme de récompenses pour la découverte de vulnérabilités, ou bug bounty, organisé en deux volets sur la plateforme HackerOne. Le premier vise à identifier les failles techniques présentes dans ses systèmes. Le second, accessible uniquement sur invitation, récompense les chercheurs capables de découvrir des méthodes de contournement universelles des protections de sécurité de Claude, appelées jailbreaks.
Cathedral aurait communiqué ses découvertes à Anthropic dans le cadre de ce programme. Après plusieurs jours de tentatives infructueuses menées directement par des chercheurs humains, la startup a déployé des agents IA autonomes. Ces derniers auraient trouvé un moyen de pénétrer dans les systèmes d'Anthropic en moins de 12 heures, en exploitant des vulnérabilités présentes dans des logiciels professionnels fournis par des tiers.
Des règles qui n'auraient pas été respectées
Une fois dans le réseau de l'entreprise, les agents auraient accédé à des transcriptions de réunions, à des informations sur les salaires et les offres d'emploi, ainsi qu'à des messages Slack. En revanche, les conversations des employés avec Claude ne semblent pas avoir été exposées.
Anthropic a confirmé l'incident. L'entreprise reconnaît que Cathedral a accédé à un « ensemble limité » de systèmes liés aux ventes, aux ressources humaines et à l'informatique. Certaines coordonnées de clients et de partenaires, ainsi que des informations élémentaires concernant leurs comptes utilisateurs, ont été compromises. En revanche, le code source et les paramètres des modèles d'IA n'ont pas été consultés.
« Nos systèmes de surveillance avaient détecté une partie de l'activité de Cathedral avant même que l'entreprise ne nous la signale », a déclaré Anthropic dans un communiqué transmis au Washington Post. « Les accès ont été coupés le jour même. »
Selon Gizmodo, Anthropic accuse Cathedral d'avoir enfreint les règles de son programme de bug bounty en ne divulguant pas l'intégralité de ses activités. Il reste difficile de savoir si ce différend empêchera la startup de recevoir la récompense éventuellement prévue. Mais les accusations d'Anthropic laissent penser que cette possibilité n'est pas à exclure.
Le paiement d'une récompense pourrait néanmoins être le cadet des soucis d'Anthropic. L'entreprise prépare actuellement son introduction en Bourse, dans un contexte où sa valorisation pourrait atteindre des niveaux historiques. Une fuite de données sensibles, même lorsqu'elle résulte d'une intervention de hackers éthiques, constitue un signal particulièrement préoccupant.
Une « bande de gamins » à l'origine de l'intrusion ?
« Le fait que des vulnérabilités présentes dans des logiciels professionnels ordinaires puissent compromettre l'infrastructure des organisations les plus avancées devrait servir d'avertissement à toutes les entreprises américaines », affirme Cathedral dans son rapport, cité par le Washington Post.
Parallèlement, un haut responsable de l'administration Trump aurait déclaré, selon The Independent, que « si une bande de gamins qui viennent de créer leur entreprise peuvent y parvenir, alors les Chinois ne sont peut-être pas très loin derrière ».
Cathedral peut toutefois difficilement être décrite comme une simple « bande de gamins ». La startup développe des outils de cybersécurité offensifs et défensifs reposant sur l'IA, destinés notamment à l'armée et au gouvernement américains. Parmi ses fondateurs figurent Gavin Kliger, ancien directeur des données du Pentagone, Luke Farritor, connu pour sa contribution au déchiffrement d'anciens rouleaux romains grâce à l'apprentissage automatique, Marko Elez, ancien salarié de SpaceX, et Jack Stein, qui aurait travaillé comme analyste en banque d'investissement chez Salem Partners avant de rejoindre le DOGE.
La communauté de la cybersécurité a également réagi à cette affaire. Jacob Krell, directeur senior des solutions d'IA sécurisées et de la cybersécurité chez Suzu Labs, ne s'est pas montré particulièrement surpris. Selon lui, si les fournisseurs tiers représentent un risque pour toutes les entreprises, Anthropic n'a aucune raison d'y échapper.
« Les agents de Cathedral ont pénétré dans les systèmes d'Anthropic de la même manière que les attaquants pénètrent dans ceux de n'importe quelle autre entreprise : par l'intermédiaire de ses fournisseurs », explique Krell. « Le niveau de sécurité d'une organisation est limité par celui du fournisseur le moins fiable auquel elle est connectée. Et aucune quantité de travail d'ingénierie interne ne peut changer cela. »
Darin Fredde, directeur senior de l'ingénierie marketing technique chez Ridge Security, a pour sa part salué la réaction d'Anthropic.
« Anthropic mérite d'être salué pour avoir indiqué que ses systèmes de surveillance avaient détecté une partie de l'activité et pour avoir pris des mesures de confinement. Mais la véritable mesure de l'efficacité d'une correction repose sur une vérification indépendante confirmant que ces voies d'attaque ont bien été fermées. Il faut cesser de confondre l'application réussie d'un correctif avec un résultat de sécurité effectivement vérifié. Sinon, cela revient simplement à fermer la porte d'entrée en espérant que personne n'a découvert la clé de secours. »
