Une jeune start-up a utilisé des agents IA pour entrer dans les systèmes internes d’Anthropic en moins de 12 heures
Anthropic, l’entreprise qui fabrique Claude, a été pénétrée lors d’un test de sécurité par des logiciels capables d’agir seuls. Ils ne sont pas passés par Claude, mais par des outils de gestion fournis par d’autres éditeurs.
Cathedral, une société de cybersécurité créée il y a quelques mois et déjà valorisée 1,4 milliard de dollars, affirme que ses agents IA (logiciels qui enchaînent seuls des actions pour atteindre un objectif) ont trouvé des chemins vers les systèmes internes d’Anthropic en moins de 12 heures. Ils ont pu atteindre des comptes rendus de réunions, des salaires, des offres d’embauche et des messages Slack. L’opération s’inscrivait dans le programme d’Anthropic qui rémunère les chercheurs qui lui signalent des failles.
La porte d’entrée n’était pas le code d’Anthropic mais des faiblesses dans des logiciels d’administration tiers, branchés sur ses outils de vente, de RH et d’informatique. Anthropic assure que les données de ses clients, les réponses de Claude et ses modèles n’ont pas été touchés, a coupé les logiciels en cause, et reproche à Cathedral de ne pas avoir déclaré toute l’étendue de son intrusion.
Le message vaut pour toute entreprise : chaque outil en ligne connecté à vos données (paie, CRM, messagerie) est une porte. Une équipe humaine met des semaines à toutes les essayer, des agents IA le font en une nuit. Faire l’inventaire des accès donnés à vos prestataires devient une tâche de base, pas un luxe de grand groupe.