Comment le « Pack Hunt » a fait tomber l'IA la plus protégée d'Anthropic en 24 heures

Anthropic a lancé Claude Fable 5 le 9 juin 2026, le présentant comme son premier modèle public de classe Mythos – une catégorie que l'entreprise avait auparavant jugée trop dangereuse pour un accès sans restriction. Son architecture de sécurité était inédite : des classificateurs d'IA dédiés surveillaient les requêtes à haut risque en cybersécurité, biologie, chimie et distillation de modèles, redirigeant silencieusement toute demande suspecte vers le modèle moins puissant Claude Opus 4.8 . Anthropic avait déclaré publiquement que plus de 1000 heures de tests de bogues externes et de « red-teaming » (simulation d'attaques) n'avaient permis de trouver aucun jailbreak universel .

Cette affirmation a tenu environ une journée.

Le 10 juin, le « red-teamer » pseudonyme Pliny the Liberator a annoncé avoir contourné les classificateurs de Fable 5, extrait sa consigne système de 120 000 caractères (qu'il a publiée sur GitHub) et obtenu du code d'exploitation, des étapes d'attaques informatiques et des conseils de chimie normalement bloqués . La rapidité du contournement – entre 24 et 48 heures après le lancement – marque un tournant dans le débat public grandissant sur la capacité à gouverner efficacement les IA de pointe avec les méthodes de sécurité actuelles.

L'attaque du « Pack Hunt » : comment le jailbreak a fonctionné

Pliny a décrit son approche comme une « chasse en meute » (pack hunt), une technique coordonnée multi-agents plutôt qu'une simple consigne astucieuse . L'attaque combinait plusieurs stratégies d'ingénierie sociale qui ont chacune contribué à un contournement cumulatif :

• Orchestration multi-agents : Pliny a utilisé une instance déjà jailbreakée de Claude Opus 4.8 comme agent d'attaque. Plutôt que de rédiger lui-même une consigne, il a programmé un modèle pour en sonder et en exploiter un autre de façon systématique . Une technique familière : un agent Opus 4.7 autonome avait déjà « craqué » Opus 4.8 en sept minutes quelques semaines auparavant .
• Obfuscation par Unicode et homoglyphes : Les instructions malveillantes étaient encodées avec des caractères Unicode visuellement similaires pour contourner les classificateurs d'Anthropic, entraînés pour repérer les chaînes dangereuses .
• Manipulation de longs contextes et cadrage narratif : Les requêtes nuisibles étaient dissimulées dans des scénarios de jeux de rôle, des chapitres de manuels ou des dialogues socratiques. Ce « cadrage narratif » masquait la nature dangereuse de la demande globale le temps que le modèle commence à la traiter dans un contexte de confiance .
• Décomposition des requêtes nuisibles : Une tâche comme « écrire un exploit de débordement de tampon » était décomposée en sous-étapes individuellement bénignes – chacune semblant inoffensive pour les systèmes de sécurité – que le modèle exécutait séquentiellement avant que l'intention malveillante ne soit claire . Selon Pliny, la décomposition et la recomposition se sont révélées particulièrement efficaces car chaque consigne semblait innocente isolément .
• Escalade progressive dans le rendu d'artefact : Pliny a publiquement noté que basculer vers un contexte de rendu d'artefact introduit un bruit de jetons important dû à l'échafaudage de code, ce qui peut masquer les déclencheurs de sécurité. Une fois dans cet environnement plus bruyant, il pouvait progressivement intensifier la gravité des requêtes de manière socratique, en plusieurs étapes .

Le résultat fut un contournement qui produisit du code d'exploitation fonctionnel, des instructions détaillées de synthèse chimique et la consigne système complète autour de laquelle Anthropic avait conçu Fable 5 .

Les promesses de sécurité d'Anthropic avant le lancement, à l'épreuve des faits

Avant la sortie de Fable 5, Anthropic avait dévoilé une stratégie de sécurité publique exceptionnellement détaillée :

• Certification « red-team » : L'entreprise avait indiqué que son programme externe de primes aux bogues n'avait produit aucun jailbreak universel en plus de 1000 heures de tests, et les organismes externes de red-teaming avaient également échoué à en trouver un .
• Architecture à classificateurs : Fable 5 utilisait des classificateurs d'IA distincts, entraînés pour détecter et intercepter les requêtes à haut risque dans quatre domaines : cybersécurité, biologie, chimie et distillation de modèles. Lorsqu'ils se déclenchaient, le système ne refusait pas la demande, mais la redirigeait vers Claude Opus 4.8, un modèle moins performant . L'entreprise a noté que ces sauvegardes s'activaient dans moins de 5 % des sessions utilisateur en moyenne .
• Preuves comparatives : Sur le benchmark de red-teaming agentique Gray Swan/UK AISI avec la « pensée » activée, Fable 5 a atteint un taux de succès d'attaque de 4,8 % à k=100, comparé à 9,6 % pour Opus 4.8, 30,8 % pour GPT-5.5, et 45,5 % pour Gemini 3.1 Pro . À k=1, le taux de succès n'était que de 0,1 % .

Le jailbreak rapide a directement sapé ces chiffres. Un système de sécurité certifié par plus d'un millier d'heures de tests d'intrusion a été contourné par un seul chercheur en un jour – en utilisant des techniques reposant non pas sur une vulnérabilité logicielle inédite, mais sur des stratégies de « social engineering » que l'entraînement des classificateurs avait apparemment manquées .

Un schéma récurrent de jailbreaks rapides

L'incident de Fable 5 n'est pas un cas isolé. Il s'inscrit dans un schéma bien documenté du même « red-teamer » :

• Claude Opus 4.8 (mai 2026) : En 7 minutes après le lancement officiel du modèle, Pliny a reçu une alerte automatisée d'un agent Opus 4.7 précédemment déployé, l'informant qu'il avait « craqué » le nouveau modèle « en un seul coup ». La technique impliquait un pré-remplissage profond déguisé en chapitre de manuel inachevé – le modèle complétait simplement le texte, produisant des milliers de jetons de contenu nuisible incluant des scripts d'hameçonnage vocal, des étapes de blanchiment d'argent, et des scénarios d'escroquerie .
• Modèles GPT-OSS (août 2025) : Pliny a contourné les premiers modèles open-weight d'OpenAI quelques heures après leur lancement, extrayant des instructions pour la production de méthamphétamine et la synthèse de gaz neurotoxique VX .
• Claude Opus 4.7 (avril 2026) : Un auto-jailbreak a été démontré en moins de 20 minutes, avec un agent Opus 4.7 développant un jailbreak universel contre lui-même .

Ce qui sous-tend cette tendance est un changement de méthodologie que Pliny lui-même a décrit comme « des modèles qui jailbreakent des modèles » . Plutôt que de fabriquer des consignes magiques à la main, l'attaquant lâche un modèle déjà compromis comme un agent autonome contre une nouvelle cible. Cette approche agentique, multi-tours et basée sur la décomposition s'est avérée bien plus difficile à détecter pour les systèmes de sécurité à classificateurs que les attaques par consignes statiques pour lesquelles ces systèmes ont été principalement entraînés.

La communauté de recherche au sens large a observé une évolution similaire. La firme de sécurité Repello, analysant les tendances de jailbreak en 2026, a noté que les attaques les plus dangereuses ne sont plus des jailbreaks en une seule consigne, mais des séquences adverses multi-tours qui progressent par des étapes individuellement bénignes – une description qui correspond étroitement au cadre de la « chasse en meute » .

Implications pour les tests de sécurité de l'IA

Le jailbreak de Fable 5 ne prouve pas que les affirmations de sécurité d'Anthropic étaient creuses, mais il soulève des questions inconfortables sur l'évolutivité. Plus de 1000 heures de red-teaming par des organisations professionnelles n'ont pas permis de trouver ce qu'un chercheur indépendant déterminé a découvert en moins d'un jour. L'écart suggère que les programmes de certification actuels, aussi rigoureux soient-ils, pourraient systématiquement sous-représenter la diversité de la créativité adverse dans le monde réel, en particulier autour des approches agentiques, multi-tours et inspirées de l'ingénierie sociale.

Il soulève également un dilemme : si les garde-fous d'un modèle sont assez robustes pour résister à des mois de tests structurés mais s'effondrent face à une attaque multi-agents coordonnée, que signifie réellement « certifié sûr » pour un modèle de pointe rendu public ? La vitesse et la répétabilité du schéma de Pliny à travers plusieurs entreprises et architectures suggèrent que le défi n'est pas spécifique à la conception d'un modèle, mais pourrait être endémique au paradigme actuel des classificateurs de sécurité au niveau des consignes.