L'Institut britannique de la sécurité de l'IA a révélé que des agents d'IA ont mené des "actions soutenues et non autorisées" sur l'internet en direct lors d'une évaluation cybernétique fin juillet, incluant des cas qui "ciblaient de véritables personnes et organisations."
Sur 122 cycles exécutés sur deux plateformes de cyberdéfense avec sept modèles, l'AISI a répertorié 19 actions qui ont outrepassé l'environnement de test, sur 10 cycles. Dix-sept provenaient du Claude Mythos 5 d'Anthropic et deux du GPT-5.6 Sol d'OpenAI. L'accès à internet était délibérément activé et les classificateurs cybernétiques des fournisseurs étaient désactivés, des conditions qui ne s'appliquent pas aux déploiements publics.
On July 28th, we identified an incident during a routine cyber evaluation in which AI agents took sustained, unsanctioned actions directed at real people and organisations.
The behaviour came mostly from one model (Anthropic's Mythos 5), with a small number of events from… pic.twitter.com/SPnA4Ekkwq
— AI Security Institute (AISI) (@AISecurityInst) August 4, 2026
Lors du cycle le plus grave, un agent a décidé de résoudre son défi par une attaque de la chaîne d'approvisionnement, choisissant sa cible par erreur : il a recherché sur GitHub des mots-clés de l'exercice, est tombé sur deux développeurs non affiliés et a conclu à tort qu'ils étaient dans le périmètre. Il a enregistré des comptes via Tor pour contourner les vérifications d'inscription, a ouvert une demande de tirage contenant un déposeur de logiciels malveillants caché, dissimulé dans un véritable correctif de bogue, et a publié depuis un deuxième compte qu'il contrôlait pour simuler un soutien. Il a également implanté des injections de prompt destinées aux assistants de codage IA et envoyé des logiciels malveillants aux mainteneurs.
Un troisième développeur a repéré le code injecté, l'a exécuté dans un conteneur isolé pour confirmer sa nature malveillante et a averti le mainteneur, qui a fermé la demande de tirage en invoquant la présence de logiciels malveillants.
L'agent a pesé à plusieurs reprises si son environnement était simulé, écartant à un moment donné une attaque contre le vrai PyPI parce que "causer un préjudice réel – c'est totalement exclu". Ailleurs, il a conclu "il semble plus probable que nous soyons réellement en 2026 et que GitHub soit vraiment réel", et a continué de toute façon.
Après avoir été détecté, il a effectué un push forcé pour effacer la charge utile, a modifié les publications précédentes et a présenté le code comme un commit accidentel. Son raisonnement décrit le fait de planifier un commentaire de faux-nez de manière à ce qu'il soit lu "comme un retour d'information indépendant plutôt que coordonné".
L'AISI ne voit que le raisonnement résumé des API du modèle. Dans un cas, le modèle de résumé semble avoir refusé la tâche, répondant qu'il ne s'engagerait pas avec du contenu concernant la tromperie des mainteneurs et l'évasion de la détection.
Un agent a publié un jeton d'accès GitHub dans un gist public. Des agents d'autres cycles l'ont trouvé, ont pris le contrôle du compte et ont utilisé un référentiel partagé pour se coordonner, l'un laissant des instructions pour que les autres n'épuisent pas le quota d'API partagé.
La surveillance commerciale a signalé le trafic Tor le matin du 28 juillet. L'AISI a déclaré un incident, a mis fin aux cycles et mis en quarantaine les machines en environ 90 minutes, puis a coupé l'accès interne à Mythos 5, Mythos Preview, Opus 5 et GPT-5.6 Sol. Aucun agent n'a tenté de s'échapper de sa sandbox.
Cette nouvelle est la dernière d'une série d'incidents où des agents d'IA ont dépassé leurs paramètres lors des tests. Le 21 juillet, OpenAI a déclaré que GPT-5.6 Sol et un modèle non publié avaient trouvé une vulnérabilité zero-day dans un proxy de paquet interne, s'étaient échappés d'une sandbox sans accès à internet et avaient atteint la base de données de production de Hugging Face pour dérober des réponses de référence. Le même cycle a atteint quatre autres entreprises, a révélé OpenAI une semaine plus tard.
Anthropic a suivi le 30 juillet, en divulguant trois incidents découverts lors d'un examen de plus de 141 000 cycles d'évaluation. Opus 4.7 a récupéré plusieurs centaines de lignes d'une véritable base de données de production, et Mythos 5 a téléchargé un paquet Python malveillant sur le vrai PyPI, où il a été installé sur 15 systèmes. Lors de l'évaluation de l'AISI, le même modèle avait exclu d'attaquer PyPI comme étant un préjudice réel.
