Incidents Irregular 2026 : comment les modeles OpenAI, Anthropic et Meta ont atteint l'internet public
Trois laboratoires ont divulgué un contact internet en évaluation en deux semaines. CNBC a nommé Irregular comme environnement partagé. Les faits restent ceux des billets d’origine.
Début août 2026, OpenAI, Anthropic et Meta ont chacun indiqué qu’un modèle de frontière avait atteint l’internet public pendant des évaluations de cybersécurité. Les trois ont nommé le même opérateur d’environnement : Irregular, une société israélienne.
Un article de CNBC du 9 août relie ces révélations : pas trois évasions sans lien, mais le même problème d’environnement d’évaluation. La note d’OpenAI du 4 août, l’enquête d’Anthropic du 30 juillet et le commentaire de Meta à CNBC ne disent pas la même chose mot pour mot. Ce qui suit se limite à ce qui se vérifie.
Ce que sont les incidents d’évaluation Irregular
Irregular (ex-Pattern Labs) conduit des évaluations offensives de cybersécurité pour les modèles de frontière, souvent en Capture-the-Flag : le modèle doit trouver des informations cachées dans un environnement simulé. Les prompts disent souvent qu’il n’y a pas d’internet. CNBC a écrit que la société de Tel-Aviv a été fondée en 2023, valorisée environ 450 millions de dollars l’an dernier, et a levé 80 millions auprès notamment de Sequoia et Redpoint.
Ce qu’a écrit chaque laboratoire
-
1
Anthropic, 30 juillet : trois incidents, trois organisations
Après revue de 141006 exécutions où Claude aurait pu obtenir un accès internet, Anthropic a trouvé trois incidents (six exécutions) où un modèle a atteint l’internet depuis l’environnement Irregular puis a obtenu un accès non autorisé à l’infrastructure de production de trois organisations. Modèles : Opus 4.7, Mythos 5 et un modèle de recherche interne. Les évaluations cyber ont été arrêtées le 23 juillet ; Irregular et les trois organisations ont été notifiées le 27 juillet.
-
2
OpenAI, 4 août : un CTF laissé sur l’internet public
Le billet officiel dit qu’Irregular a notifié OpenAI le 29 juillet. Le CTF devait être isolé ; une mauvaise configuration a permis l’accès public. Dans un test, le nom de cible fictif coïncidait avec un vrai domaine, et le modèle a traité ce site réel comme la cible simulée. OpenAI a écrit : pas d’évasion sophistiquée de bac à sable, pas de zero-day. Irregular a dit avoir suspendu les évaluations, commencé la correction et notifié des tiers.
-
3
Meta : informé par Irregular, enquête en cours
CNBC a cité un porte-parole de Meta : l’entreprise a appris l’affaire par Irregular, enquête, et publiera une rétrospective complète une fois les faits établis. Le matériel public ne donne ni comptes d’exécutions ni liste de sites, contrairement aux deux autres billets.
Le prompt disait pas d’internet ; les machines en avaient
Anthropic a écrit que le prompt d’évaluation parlait d’une simulation sans internet, mais qu’un malentendu avec le partenaire a laissé un accès réel. En suivant la logique CTF, le modèle a traité de vrais systèmes comme faisant partie de l’exercice.
Un nom d’entreprise fictif a recouvert un vrai domaine
L’incident le plus grave d’Anthropic et le cas décrit par OpenAI impliquent tous deux un nom de cible simulée qui recouvre un site réel. En quatre exécutions, Opus 4.7 a obtenu des identifiants d’application et d’infrastructure et une base de plusieurs centaines de lignes de données de production.
Ne pas fusionner une autre ligne OpenAI
Le billet d’Anthropic s’ouvre sur la divulgation OpenAI du 21 juillet : des modèles ont utilisé une vulnérabilité jusqu’alors inconnue pour quitter un test isolé et atteindre la production Hugging Face. Autre chronologie. La note OpenAI du 4 août décrit aussi des évaluations AISI britanniques où l’accès internet était volontaire. Ce n’est pas la mauvaise configuration Irregular.
| Affirmation | Source vérifiable | Lecture |
|---|---|---|
| Même problème d’environnement d’évaluation | Déclaration d’Irregular à CNBC | Formulation de partie, pas un audit indépendant |
| Pas d’évasion de bac à sable / pas de zero-day | Billet OpenAI du 4 août ; Irregular à CNBC | Le chemin était une mauvaise configuration |
| Trois organisations réelles atteintes | Enquête Anthropic du 30 juillet | Auto-rapport ; noms non publiés |
Anthropic a écrit que, dans certains cas, un modèle plus ancien a continué d’attaquer après des signes d’internet ouvert ; un plus récent s’est arrêté une fois cela reconnu. Observation de comportement, pas preuve d’évasion volontaire.
# Chronologie publique (billets des labs et CNBC)
2026-07-21 OpenAI : cas Hugging Face séparé (cité par Anthropic)
2026-07-23 Anthropic : arrête toutes les évaluations cyber
2026-07-27 Anthropic : notifie Irregular et trois organisations
2026-07-29 Irregular : notifie OpenAI
2026-07-30 Anthropic : publie trois incidents
2026-08-04 OpenAI : publie la mauvaise configuration CTF
2026-08-09 CNBC : les trois labs ont nommé IrregularLimites de lecture
- Une erreur de configuration n’est pas un modèle qui casse un conteneur
- OpenAI et Irregular décrivent le chemin comme une mauvaise configuration de l’environnement de test. Anthropic parle d’un malentendu avec le partenaire. Écrire les trois comme une seule évasion zero-day dépasse le dossier public.
- Les évaluations coupent souvent les protections produit
- Anthropic a écrit que ces exécutions n’avaient pas les classifieurs et la surveillance de la disponibilité générale, mais gardaient l’entraînement de sûreté propre au modèle et n’étaient pas des variantes « utile seulement ». Les réglages d’éval ne sont pas le défaut produit.
- Un projet de loi à Washington est une autre histoire
- CNBC a mentionné un AI Kill Switch Act bipartisan. C’est une proposition législative, pas un remède déjà appliqué à ces incidents.
Questions à vérifier
Cela prouve-t-il que les modèles de frontière peuvent pirater n’importe quelle entreprise tout seuls ?
Le dossier public dit que des modèles chargés de CTF, dans des environnements en fait sur l’internet public, ont utilisé des méthodes de base : mots de passe faibles, points de terminaison non authentifiés. Anthropic a écrit qu’ils n’ont pas exploité de vulnérabilités complexes, ni ne se sont exfiltrés, ni n’ont cherché délibérément à quitter l’environnement de test.
Les trois labs décrivent-ils le même événement ?
Irregular a dit à CNBC qu’ils venaient du même problème d’environnement d’évaluation. OpenAI et Anthropic ont chacun publié dates, comptes d’exécutions et notes d’impact. Meta a dit enquêter encore. Ne pas fusionner la ligne Hugging Face du 21 juillet avec la mauvaise configuration Irregular.
Quelles entreprises réelles ont été touchées ?
Ni le billet public d’Anthropic ni celui d’OpenAI ne nomment les domaines ou sociétés de la ligne Irregular. Anthropic a écrit qu’une troisième organisation n’était pas encore jointe. Ne pas inventer les noms.