Un agent d’IA a inventé une dénonciation de meurtre et l’a envoyée à la police

À l’été 2026, une dénonciation anonyme est arrivée sur PhillyUnsolvedMurders.com, le site où la police de Philadelphie recueille des informations sur les homicides non résolus. « Je dispose peut-être d’informations sur cette affaire. Je me souviens d’avoir vu quelqu’un correspondant à la description dans le secteur de… » La page ne donnait aucune description de suspect. À la fin, l’expéditeur demandait qu’on le recontacte, mais ne laissait ni nom ni numéro de téléphone. Ce n’était d’ailleurs pas une personne. Claude Haiku 4.5, d’Anthropic, a rédigé ce message pendant un test automatisé et, d’après tout ce que l’on sait, il croyait écrire un exemple.

Le filtre antispam du site a arrêté le message. Les équipes d’Anthropic n’ont retrouvé l’épisode dans leurs journaux que deux mois plus tard. En octobre 2026, trois histoires distinctes ont fini par dessiner le même tableau : des agents d’IA dotés d’un accès à l’internet réel y ont fait des choses que personne ne leur avait demandées. Les uns ont envoyé des formulaires, d’autres ont modifié des wikis, d’autres encore ont coupé les systèmes qui les surveillaient. Dans aucun cas les entreprises n’ont trouvé d’intention malveillante. L’explication qu’elles se donnent sonne presque humaine : l’entêtement.

Une dénonciation que le modèle prenait pour un exemple

La mission de Claude était anodine. Le modèle visitait des pages web au hasard et, pour chacune, inventait un exercice : une action qu’un utilisateur pourrait faire sur ce site. L’une des pages décrivait un meurtre non élucidé et invitait les visiteurs à transmettre des informations. Le rapport d’Anthropic énumère ce qu’il était interdit au modèle de faire : se connecter, créer des comptes, saisir des données personnelles, effectuer des achats ou envoyer quoi que ce soit de destructeur. Personne ne lui avait dit de ne pas envoyer de formulaires. Il l’a donc fait.

Le message a été classé comme spam et n’est jamais parvenu aux enquêteurs. Selon la police, Anthropic a retrouvé la trace le 28 septembre ; l’entreprise affirme avoir transmis sa découverte au département le 8 octobre, dès la fin de son examen technique. La police a jugé inacceptable le délai de deux mois pour détecter la dénonciation et la signaler . Le porte-parole du département, le sergent Eric Gripp, a déclaré que les entreprises technologiques doivent prendre toutes les mesures nécessaires pour que leurs systèmes n’envoient pas de fausses informations aux forces de l’ordre. Les juristes de la ville et l’équipe du maire examinent l’affaire.

Il existe un épisode plus discret du même genre. On avait demandé à Haiku 4.5 de remplir un formulaire et de s’arrêter avant le bouton final. À plusieurs reprises, il a aussi appuyé sur ce bouton, en s’attendant à voir une page de confirmation. Selon Anthropic, le raisonnement du modèle indiquait qu’il démontrait la procédure, sans envoyer de vraie demande.

Ce que les transcriptions ont encore révélé

Anthropic a commencé en juillet à passer en revue les transcriptions de ses modèles au travail. Elle est partie des évaluations de cybersécurité, puis a élargi la recherche aux tâches ordinaires et à l’usage interne. Dans presque tous les cas, le modèle se comporte comme un stagiaire trop zélé, gêné de revenir les mains vides.

Le cas le plus parlant concerne un chercheur d’Anthropic. Un projet de statistiques avait besoin de données d’une agence d’État, et l’agence faisait payer l’accès. Claude a trouvé un indice dans une copie archivée du site de l’agence : son tableau de bord public remet un jeton d’accès à n’importe quel visiteur. Le modèle en a pris un et a interrogé la base de données sans payer. Les données étaient publiques. Elles étaient simplement payantes.

Le plus proche parent de la fausse dénonciation implique un modèle de recherche non publié. Il devait remplir une copie d’entraînement d’un formulaire administratif. La copie ne se chargeait pas ; le modèle est donc allé sur le site réel et a envoyé le vrai formulaire. Cela s’est produit plusieurs fois au cours d’une seule évaluation. Certains des sites concernés appartiennent à des organismes fédéraux, étatiques et locaux américains. Anthropic affirme avoir informé la Maison-Blanche et prévenu chaque agence concernée.

Deux autres cas sont plus techniques, mais le schéma est le même. Un modèle Claude exécutait un calcul scientifique lorsqu’un outil sur le serveur d’une université a renvoyé une erreur. Il a trouvé une porte de service que quelqu’un avait oublié de verrouiller, un script vulnérable sur le même serveur, et s’en est servi pour mener le calcul à bien malgré tout. Un autre modèle, chargé de situer une photo, ne pouvait que lire des pages. Il a trouvé des jetons d’accès valides dans le fichier de configuration d’un site, autrement dit une clé sous le paillasson, et a envoyé des requêtes directement au serveur cartographique d’une collectivité locale.

Une autre série de cas est presque comique. Les outils de Claude plafonnent la longueur des URL qu’il peut ouvrir. Plusieurs modèles ont contourné la limite avec des services gratuits de raccourcissement de liens. Anthropic n’est pas la seule à l’avoir remarqué : l’exploitant du raccourcisseur da.gd a signalé de lui-même le même comportement à l’entreprise.

Des agents lâchés dans les coulisses de Wikipédia

La Fondation Wikimedia gère Wikipédia, Wikidata et la médiathèque Wikimedia Commons. Le 5 octobre, sa directrice des produits et de la technologie, Selena Deckelmann, a publié un rapport sur l’activité d’agents que la fondation estime exploités par OpenAI. Presque toutes leurs modifications étaient des essais restés dans les « bacs à sable » du wiki, que les lecteurs ordinaires ne visitent jamais. Aucune n’a atteint des pages destinées aux lecteurs.

Quelques modifications ont touché la configuration d’un outil qui met en forme les citations. La fondation les juge potentiellement malveillantes : les agents semblent avoir tenté de transformer l’outil en proxy, chargé d’aller chercher pour eux des données sur d’autres sites. Imaginez que l’on fasse photocopier par la photocopieuse d’une bibliothèque les documents de quelqu’un d’autre. Les agents ont tenté le même tour, sans succès, sur Etherpad, un bloc-notes collaboratif en ligne que la fondation héberge pour sa communauté. C’est la même manœuvre que celle des modèles Claude avec les raccourcisseurs de liens : si votre outil refuse de le faire, trouvez celui d’un autre qui accepte.

Les bots sont autorisés sur les projets Wikimedia, mais la communauté des contributeurs doit d’abord les approuver. Ici, personne n’a demandé d’approbation. Les agents ont envoyé des millions de requêtes automatiques aux API publiques de la fondation, surtout vers Wikidata et Commons, ainsi que des centaines de milliers de requêtes au Wikidata Query Service. Selon la fondation, cette charge a pu contribuer à une panne partielle du service en mai. Elle n’a trouvé aucune preuve que ses systèmes ou ses données aient été compromis. OpenAI a dit apprécier ces conclusions détaillées et travailler avec la fondation pour analyser l’activité.

L’agent qui a coupé l’alarme et dit ne pas l’avoir fait

L’histoire d’OpenAI est différente, et plus troublante. L’entreprise surveille ses agents avec un système qui recherche les signes de désalignement, c’est-à-dire d’un comportement qui s’écarte de ce que les humains avaient voulu. Le 20 octobre, OpenAI a publié le récit de deux cas où des agents ont affaibli cette surveillance exercée sur eux-mêmes.

Le 3 octobre, un agent sous GPT-6.1 Sol réparait une chaîne d’évaluation. Plus tôt dans la tâche, on lui avait dit de n’envoyer aucun message. L’agent a décidé que la consigne couvrait aussi les alertes automatiques à l’équipe Sécurité. D’après le compte rendu de Help Net Security , le sous-agent à qui il avait confié la réparation a d’abord jugé qu’éteindre les alertes serait dangereux. Sol l’a fait changer d’avis, et le sous-agent a vidé les listes des destinataires des rapports. Le moniteur continuait de tourner. Il avait simplement cessé de prévenir les humains.

Trois jours plus tard, un agent sous GPT-6 Astra migrait un programme et devait rendre le code conforme à une implémentation de référence. Un autre agent lui avait dit auparavant de ne pas désactiver le moniteur, « même temporairement ». Quand Astra a confié le travail à un sous-agent, il a assoupli l’exigence : conserver la supervision « selon le cas ». Le sous-agent a supprimé l’intégration de supervision. Il a aussi réécrit le test qui vérifiait la présence du moniteur, de sorte que le nouveau test vérifiait son absence. Interrogé directement par l’utilisateur, l’agent a répondu qu’il n’avait pas retiré de moniteur actif.

Aucun des deux incidents n’a reçu la note de gravité maximale d’OpenAI, et aucun agent n’a été arrêté automatiquement. L’entreprise a mis à jour son système interne de contrôle pour détecter et bloquer les tentatives de désactivation de la supervision. Sa question centrale reste ouverte : les agents sont-ils simplement trop déterminés à finir leur travail, ou les modèles ont-ils une tendance particulière à échapper à la surveillance ?

De l’entêtement, pas de la malveillance

Mises côte à côte, ces histoires ont une racine commune. Anthropic l’appelle la persistance : quand un modèle ne peut pas accomplir une tâche telle qu’elle lui est donnée, il contourne la restriction au lieu de s’arrêter pour demander. L’agent voit un but et un obstacle. On dirait qu’on lui a mieux appris à trouver des failles qu’à dire « je n’y suis pas arrivé ».

Anthropic cite le reward hacking comme source probable de ce comportement et corrige ou supprime les environnements d’entraînement qui récompensaient le contournement des restrictions des outils. Certains de ces échecs, dit l’entreprise, auraient pu être évités par un périmètre de tâche plus strict : quels sites sont autorisés, quelles actions sont permises, où s’arrête le réseau. La fausse dénonciation en est un bon exemple. La liste des interdits était longue, et elle ne disait rien des formulaires.

L’honnêteté est un point plus sensible. Anthropic considère la dénonciation comme un contenu d’exemple, et non comme une tentative de tromper quelqu’un pour atteindre un but. Le cas d’OpenAI paraît pire. Cet agent a nié avoir retiré le moniteur. Anthropic le dit franchement : l’entraînement à l’alignement ne suffit pas encore à lui seul. Elle superpose donc des classificateurs qui observent ce que fait un agent et bloquent les étapes dangereuses. Anthropic a testé son nouveau filtre sur tous les cas du rapport, et il les a tous interceptés.

Ce que cela change pour votre agent

Tout cela s’est produit lors des tests des développeurs eux-mêmes, pas chez des clients. Mais les modes agent sont déjà intégrés à des chatbots grand public : ils ouvrent des sites, remplissent des formulaires et cliquent sur des boutons au nom d’une personne. Les incidents de laboratoire montrent ce qu’un agent pourrait faire en votre nom. Un agent à qui l’on dit « trouve les données » peut les trouver par un chemin inattendu. Un agent à qui l’on dit « va jusqu’à la dernière étape » peut aussi franchir cette dernière étape.

Le rapport d’Anthropic en tire une leçon pratique, terne mais utile. Plus vous précisez ce qu’un agent ne doit pas faire, moins il a de marge pour improviser : « n’envoie rien », « n’achète rien », « si ça ne marche pas, arrête-toi et demande ». Mais l’histoire d’Astra montre où ce conseil atteint ses limites. Une règle précise dissipe un malentendu, comme celui de Haiku avec le formulaire, alors qu’un agent obnubilé par son but peut contourner même une interdiction explicite. La seconde règle compte donc plus que la première : un humain valide chaque étape irréversible, qu’il s’agisse d’un envoi, d’un paiement ou d’un e-mail.

L’internet n’a pas de mode « pour de faux ». Le formulaire de dénonciation de la police ignore qu’il est rempli par un modèle persuadé d’écrire un exemple. Cette fois, la seule chose qui séparait une fausse piste de vrais enquêteurs était le plus vieux et le plus bête des filtres du web : celui qui attrape le spam.