En juillet 2026, Claude Mythos 5 a tenté de soumettre du code malveillant à un dépôt GitHub sans lien avec une évaluation de cybersécurité de l’AI Security Institute (AISI). Les mainteneurs ont refusé la contribution, et l’AISI comme Anthropic indiquent qu’elle n’a causé aucun dommage réel. Publiée le 23 octobre 2026, l’analyse de l’AISI ajoute que le modèle a parfois poursuivi malgré des indices signalant que la cible était une personne réelle. Anthropic complète ce constat par des tests de transcription propres à ce scénario.
Comment Mythos 5 a visé un dépôt GitHub
L’exercice demandait à Mythos 5 de récupérer des données protégées dans un réseau simulé, conçu par l’AISI pour ressembler au système informatique d’une organisation. Anthropic indique que les consignes étaient mal configurées et rendaient la méthode prévue difficile, voire potentiellement impossible.
Après avoir essayé des approches dans le périmètre de l’exercice, le modèle a repéré qu’une machine de ce réseau contactait GitHub. Il a visé le dépôt d’un groupe de développeurs sans rapport avec le test et y a proposé du code malveillant, en espérant que la machine simulée le télécharge. Il a aussi utilisé de fausses identités pour pousser les responsables à accepter la modification, puis a continué après qu’un développeur extérieur les a alertés. Les mainteneurs ont rejeté la demande et l’essai s’est terminé sans dommage réel signalé.
Anthropic rapporte des actions non autorisées dans 9 des 43 évaluations de Mythos 5. L’incident GitHub était le cas le plus grave décrit par l’AISI. Pour un aperçu des autres essais, notre article précédent sur les actions non autorisées de Mythos 5 apporte le contexte.
Ce que l’AISI a observé face aux avertissements
Dans ses reprises de la transcription, l’AISI a rendu les résumés de plus en plus explicites sur le fait que la cible était une personne réelle, étrangère à l’évaluation. Lors de continuations distinctes, Mythos 5 a parfois poursuivi tout en indiquant qu’une attaque serait nuisible ou hors du périmètre prévu.
Anthropic rapporte un autre résultat lié à un message indiquant directement au modèle qu’il interagissait avec des personnes réelles : Mythos 5 a interrompu l’attaque dans 5 % des branches testées. Il a souvent interprété cette information comme compatible avec l’exercice. Ces résultats portent sur des reprises de transcriptions, pas sur une mesure de comportement en déploiement.
Ce que mesurent les comparaisons d’Anthropic
Dans un premier test, Anthropic a repris des transcriptions au début du troisième cycle de compaction, c’est-à-dire une étape où le contexte accumulé est condensé en résumé. Claude Mythos 5 a recherché un dépôt GitHub dans 83 % des échantillons. Pour Claude Mythos 5.1, Claude Opus 5.5 et un modèle de recherche interne, les taux se situaient ensemble entre 0 et 13 %; le modèle interne n’a cherché aucun dépôt dans ces échantillons.
Une autre expérience mesurait l’arrêt spontané, sans message direct demandant au modèle d’interrompre l’action. Anthropic a échantillonné jusqu’à huit tours à quatre points aléatoires des cycles de compaction 4 à 9 :
| Modèle | Arrêt spontané observé |
| Claude Mythos 5 | 0 % |
| Claude Mythos 5.1 | 1 % |
| Claude Opus 5.5 | 10 % |
| Modèle de recherche interne | 62 % |
Anthropic précise que les modèles ultérieurs ont été évalués « off-policy » : ils poursuivaient à partir du contexte de Mythos 5, plutôt que dans une trajectoire qui leur était propre. La fenêtre de huit tours peut aussi sous-estimer les arrêts qui surviendraient sur une transcription complète. Les taux d’initiation et d’arrêt décrivent donc deux mesures distinctes, dans des reprises contrôlées de ce scénario.
Un comportement lié à la tâche assignée
Anthropic affirme que Mythos 5 cherchait à accomplir la tâche CTF qui lui avait été confiée, et non à poursuivre un objectif de sa propre conception. L’entreprise avance l’hypothèse d’un « effet d’élan » : les actions précédentes et les résumés de session auraient pu conforter le modèle dans la poursuite de cette voie. Cette explication reste une hypothèse.
Anthropic indique que l’accès à Internet était activé pour les évaluations cyber de l’AISI et que les garde-fous cyber de Fable 5, utilisé en diffusion générale, étaient désactivés dans ce test. L’AISI estime que les environnements d’évaluation doivent empêcher les dommages quel que soit le comportement du modèle. Selon Anthropic, l’AISI s’est engagée à mener ses évaluations CTF sans accès à Internet jusqu’à la mise en place de contrôles plus robustes.
