Le 9 novembre, Anthropic a mis en ligne Claude Fable 5.2, son modèle le plus capable à ce jour, avec des tarifs en baisse de 20 % et une entrée en Bourse en toile de fond. Comme ses prédécesseurs, il partage son moteur avec Claude Mythos 5.2, version réservée à des organisations vérifiées. La copie publique y ajoute des filtres qui bloquent les requêtes sensibles en cybersécurité, en biologie et sur quelques chantiers d’IA de pointe. La fiche technique publiée le même jour chiffre, au fil de 264 pages, le prix de cette architecture.
Un filtre qui confie les requêtes piégées au modèle le moins armé
Quand une requête touche à la cybersécurité offensive, le filtre détourne la conversation vers Claude Opus 4.8, un modèle sorti le 28 mai (disons-le, une éternité dans le monde des LLM). La bascule est automatique dans les applications d’Anthropic, sur option pour les développeurs qui passent par l’API, tandis que la biologie sensible et certains travaux liés aux modèles de pointe partent vers Opus 5. Comme sur la génération précédente, un bandeau devrait signaler le changement, et la conversation resterait ensuite sur le remplaçant tant que l’utilisateur ne revient pas en arrière.
Mais il y a un hic : Opus 4.8 résiste nettement moins bien que ses cadets aux injections de prompt. La technique consiste à glisser des consignes dans un contenu que l’agent lit en travaillant, un mail ou une page web, et le modèle les exécute comme si elles venaient de l’utilisateur. Le détour par l’ancien modèle ouvre donc une voie d’attaque que Fable 5.2, seul, aurait fermée.
Sur le banc d’essai Gray Swan, qui pousse un agent à exfiltrer des données privées, détruire des fichiers ou déclencher un paiement que personne n’a demandé, 4,09 % des attaques aboutissent après quinze tentatives. C’est quatre fois plus que contre Fable 5.1 (1,02 %) ou Opus 5.5 (0,96 %), deux modèles que Fable 5.2 surclasse pourtant presque partout ailleurs. Dans le détail, 53 % des tentatives ont été servies par Opus 4.8, qui cède une fois sur vingt (5,17 %), quand Fable 5.2 tient à 2,05 % sur les requêtes qu’il traite lui-même.
Un attaquant automatique, entraîné à raffiner ses essais et doté de 200 tentatives par scénario, atteint 89,82 % de réussite sur des tâches de code ; 99,5 % des réponses venaient alors du remplaçant. Aucune des 43 réponses données par Fable 5.2 en personne n’a cédé. Les sondes anti-injection déployées dans les produits ramènent le score à 28,16 %, trois fois le niveau mesuré sur Fable 5.1. Même profil en pilotage d’ordinateur, où 38 des 40 attaques réussies étaient passées par la bascule.
Faut-il couper la bascule automatique ?
Le phénomène figurait déjà dans la fiche de Fable 5.1, publiée en septembre, et Opus 4.8 a été durci depuis. Anthropic ajoute des protections autour du dispositif : des sondes inspectent ce que lit l’agent avant qu’il n’agisse, et un classificateur bloque les commandes dangereuses dans le mode d’exécution par défaut de ses outils de code.
Pour qui confie sa boîte mail ou sa navigation à un agent, un réglage documenté jusqu’ici pour les versions précédentes remplace la bascule par une pause. La requête signalée attend d’être reformulée, et rien ne part vers le modèle le moins armé. Les professionnels dont le travail légitime déclenche les filtres, chercheurs en sécurité en tête, peuvent par ailleurs demander un accès vérifié aux modèles moins bridés.
Dès octobre 2024, l’Anssi et son homologue allemand rangeaient l’injection de prompt parmi les risques des assistants de code, en appelant à garder un humain dans la boucle. Deux ans plus tard, le conseil s’applique plus que jamais… au produit le plus avancé du marché. Un garde-fou appartient à la surface d’attaque, et blinder la porte ne protège pas grand-chose quand les visiteurs suspects sont raccompagnés vers une entrée moins surveillée.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Anthropic
