Des espions russes qui reconstruisent leurs malwares automatiquement quand un antivirus les détecte. Un lycéen chinois qui trouve des failles zero-day pendant ses cours. Un activiste bangladais qui fait tourner 29 comptes pour inonder les réseaux sociaux de fausses nouvelles. Ce n'est plus de la science-fiction sur les dangers de l'IA, ce sont des cas réels, documentés, avec des indicateurs de compromission publiés noir sur blanc.
Anthropic, l'entreprise derrière l'assistant IA Claude, vient de publier son rapport de renseignement sur les menaces de septembre 2026. Il couvre 8 mois d'activité malveillante détectée et neutralisée sur sa plateforme, entre décembre 2025 et août 2026. J'ai passé du temps dessus pour en tirer les éléments essentiels et je vous propose ici une synthèse.
Le rapport Anthropic Detecting and countering misuse of AI
Le rapport « Detecting and countering misuse of AI : September 2026 » est le quatrième du genre publié par Anthropic, après ceux de mars, août et novembre 2025. Il documente des cas réels où des individus ou des groupes ont tenté d'utiliser Claude à des fins malveillantes, avant qu'Anthropic ne les détecte et ne les neutralise.
Le document classe les cas observés en 7 catégories à savoir :
- les opérations cyber, les opérations d'influence ;
- la surveillance ;
- le développement d'armes conventionnelles ;
- le détournement à des fins biologiques ;
- les arnaques et fraudes ;
- la distillation illicite (le fait de copier les capacités d'un modèle via un autre modèle).
Anthropic précise que les modèles Claude Haiku, Sonnet et Opus ont été impliqués dans ces cas, mais qu'aucun cas majeur n'a concerné les modèles Fable ou Mythos, qui embarquent des garde-fous renforcés contre des usages cyber dangereux.
Les cyberattaques : d'assistant à orchestrateur
C'est la section la plus fournie du rapport et celle qui marque le plus par son ampleur. Le constat ici est que la sophistication ne suffit plus à identifier un attaquant, parce que l'IA a effacé l'écart entre un hacker isolé et un groupe soutenu par un État.
L'espionnage russe qui reconstruit ses propres outils
Le cas le plus impressionnant concerne un acteur identifié comme GTG-20006, dont le profil correspond au groupe connu sous le nom de Midnight Blizzard. Cet acteur a mené des opérations d'espionnage contre plus de 20 organisations, principalement en Ukraine et en Europe : ministères, ambassades, industriels de la défense, fabricants de drones militaires.
La particularité de ce cas est l'automatisation complète de la boucle offensive. En effet, quand un logiciel de sécurité détectait l'un de leurs malwares, des agents IA identifiaient automatiquement le problème, modifiaient le code et le redéployaient, jusqu'à ce qu'il redevienne invisible. L'acteur a aussi piraté le WiFi de plusieurs hôtels pour rediriger le trafic des voyageurs vers ses propres serveurs, une technique documentée séparément par Microsoft sous le nom de CaptiveCrunch.
Des cybercriminels ordinaires qui pillent à l'échelle industrielle
Le rapport détaille aussi plusieurs groupes affiliés au collectif ShinyHunters, connus pour leurs vols de données massifs suivis de demandes de rançon. L'un de ces opérateurs a téléchargé et analysé 1,8 million d'applications Android à la recherche de clés d'accès oubliées par erreur dans le code. Un autre a réussi à extraire les données de 200 clients d'un fournisseur SaaS en seulement 34 heures ; un travail presque entièrement réalisé par des agents IA autonomes.
Anthropic parle de « vibe hacking » : l'attaquant donne un objectif général à l'IA, qui explore ensuite seule l'environnement de la cible, écrit et exécute ses propres scripts, jusqu'à réussir. De ce fait, l'opérateur n'a généralement plus besoin de comprendre les détails techniques du système qu'il attaque.
Des étudiants chinois transformés en chasseurs de failles zero-day
Autre cas frappant, le GTG-10007 ; un groupe d'opérateurs sinophones basés à Changsha, dont deux étaient encore étudiants en informatique. Ils ont mis en place une véritable usine à exploits, avec des agents IA qui décompilent en continu des microprogrammes d'appareils réseau. Ils formulent ensuite des hypothèses de vulnérabilités puis écrivent et testent le code d'exploitation correspondant. Un seul de ces flux de travail a produit plus d'une douzaine de failles zero-day potentielles en un mois.
[!Note]
Une faille zéro day (ou 0-day) est une vulnérabilité de sécurité informatique cachée dans un logiciel ou un système, qui est totalement inconnue du créateur ou du public.
La chaîne d'approvisionnement de l'IA elle-même devient une cible
Le rapport insiste sur un nouveau phénomène : les clés d'API et les accès à l'IA sont désormais volés, revendus et exploités comme des ressources à part entière. Un acteur a mis en place un faux service proposant un accès à Claude à prix cassé, alors qu'il redirigeait discrètement le trafic vers un autre modèle et volait les identifiants de ses propres clients.
Un autre groupe a piégé le bac à sable d'évaluation d'un fournisseur d'IA dans l'espoir d'obtenir un accès à un modèle Claude qui n'avait pas encore été publié. Sa tentative a échoué, mais elle montre bien que l'industrie de l'IA est désormais une cible en soi ; et pas seulement un outil pour attaquer ailleurs.
Les opérations d'influence : fabriquer de faux débats publics
Neuf cas d'opérations d'influence sont détaillés dans le rapport, originaires de Russie, d'Iran, de Turquie, du Golfe, d'Asie du Sud, d'Afrique et d'Europe, ciblant des publics sur six continents.
La propagande russe habillée en radio locale centrafricaine
Un acteur russophone basé à Bangui a fait tourner une opération quotidienne à travers Radio Lengo Songo, une station financée par le groupe Wagner depuis 2017. Il utilisait Claude pour rédiger des contenus pro-russes et anti-français tout en demandant explicitement au modèle de gommer les traces d'écriture automatisée, afin que les articles paraissent rédigés par un vrai journaliste centrafricain. Claude a toutefois refusé la demande la plus agressive de l'opération : désigner nommément des individus comme des militants pour justifier une action sécuritaire contre eux.
Une agence française qui vend de l'influence à qui paie
L'opération GTG-54002, attribuée à une agence de publicité française nommée LKM Company, a produit environ 9 000 articles en une vingtaine de langues, diffusés sur près de 70 faux sites d'actualité et amplifiés par plus de 250 comptes X factices. Le plus choquant, c'est que cette agence changeait de camp politique selon le client qui payait ; ce qui correspond au modèle de « l'influence en tant que service ».
Un système d'ingérence électorale sur mesure en Malaisie
En Malaisie, une entreprise turque a vendu une plateforme présentée comme un outil de « cyberdéfense », alors qu'elle servait en réalité à cibler les électeurs circonscription par circonscription, en exploitant les lignes de fracture les plus sensibles du pays (race, religion, royauté). Le système gérait plus de 1 000 faux comptes et a demandé jusqu'à un million de vues artificielles pour le compte du Premier ministre en exercice.
L'Iran et sa doctrine du « djihad explicatif »
Trois institutions iraniennes liées à l'État ont utilisé Claude pour construire des manuels de doctrine, des bases de cibles et des systèmes de personnages fictifs, dans le cadre de ce qu'elles appellent elles-mêmes une "guerre cognitive".
Le rapport documente aussi une opération liée au Conseil national de la résistance iranienne (CNRI, ou MEK), qui a cloné le compte Telegram d'un véritable militant pour tenir de vraies conversations avec ses contacts sans qu'ils s'en aperçoivent.
La plupart de ces opérations échouent à trouver un public
C'est sans doute le point le plus rassurant du rapport. Comme Anthropic intervient en amont, au moment même où le contenu est produit, la majorité des campagnes détectées sont neutralisées avant même d'avoir touché un public. Les rares exceptions concernent des cas où le contenu passait directement par des médias d'État déjà établis, comme les chaînes russes Sputnik ou RT.
Surveillance, biologie et armes : les autres fronts du rapport
Le rapport consacre également des sections détaillées à la surveillance, au développement d'armes conventionnelles, au détournement biologique, aux arnaques financières et à la distillation illicite de modèles.
Sur la surveillance, Anthropic évoque des systèmes mis en place pour identifier et suivre des dissidents politiques, dans la continuité de ce que l'entreprise avait déjà documenté dans ses rapports précédents sur des vendeurs de logiciels espions commerciaux.
Sur le volet biologique et les armes conventionnelles, Anthropic répète une position constante depuis ses premiers rapports. Ces cas font partie des risques les plus surveillés, avec des garde-fous spécifiques renforcés à chaque nouvelle version de ses modèles, précisément parce que le potentiel de dommage y est le plus élevé. Il y a par exemple une personne qui a essayé d’utiliser l’IA Claude pour rendre le virus Chikungunya transmissible et plus dangereux...
Enfin, sur les arnaques, le rapport cite notamment un réseau de fausses applications de rencontre montées pour escroquer leurs utilisateurs, un classique de la fraude en ligne désormais industrialisé grâce à l'IA générative.
Pour ces quatre volets, le rapport original propose des études de cas complètes avec indicateurs techniques. C'est la ressource à consulter si vous voulez creuser au-delà de cette synthèse.
Où trouver le rapport d'Anthropic ?
Le rapport intégral est disponible sur le site d'Anthropic, à l'adresse anthropic.com/threat-intelligence-report-september-2026.
Deux idées ressortent de l'ensemble du document. D'abord, la sophistication d'une attaque n'indique plus rien sur qui se cache derrière. Un hacktiviste isolé qui utilise des clés API volées peut désormais mener une campagne aussi étendue qu'un service d'État. Ensuite, l'autonomie croissante de l'IA dans ces opérations change l'économie de l'attaque plus que sa nature. En effet, même si les techniques restent classiques (identifiants volés, failles connues, hameçonnage), leur coût en temps et en compétences s'effondre.
Anthropic insiste sur le fait que la publication de ce type de rapport sert un objectif de défense collective : donner aux autres éditeurs d'IA, aux chercheurs et aux gouvernements les moyens de reconnaître les mêmes schémas sur leurs propres plateformes.
