Cathedral atteint les systèmes d'Anthropic en 12 heures via une faille
La start-up de cybersécurité affirme avoir exploité une vulnérabilité d'un logiciel tiers dans le cadre du programme de bug bounty d'Anthropic, qui a confirmé un accès limité.
La start-up de cybersécurité Cathedral a annoncé avoir trouvé, en 12 heures et à l'aide d'un agent d'IA, un chemin vers les systèmes internes d'Anthropic en exploitant une vulnérabilité d'un logiciel d'entreprise tiers utilisé par l'entreprise, rapporte aitimes.com. Cathedral a déclaré avoir signalé ses conclusions à Anthropic plus tôt en octobre 2026, ainsi qu'à l'éditeur du logiciel concerné.
Le test a été mené dans le cadre du programme de bug bounty d'Anthropic. Selon Cathedral, les données accessibles comprenaient des comptes rendus de réunions, des informations sur les salaires et les offres d'emploi des employés, ainsi que des messages Slack évoquant des modèles d'IA avancés.
Anthropic a confirmé un accès limité à certaines parties de ses systèmes commerciaux, RH et informatiques, y compris des coordonnées de clients et de partenaires et des informations de base sur des comptes utilisateurs. L'entreprise a précisé que ses actifs essentiels — messages des clients, sorties de modèles, code et poids — n'avaient pas été consultés. Elle a ajouté que sa surveillance avait détecté une partie de l'activité de Cathedral avant le rapport et bloqué la voie d'accès le jour même, puis désactivé le logiciel vulnérable jusqu'à confirmation du correctif par l'éditeur.
Anthropic estime toutefois que Cathedral n'a pas pleinement respecté les règles du bug bounty et a exagéré les risques pour la sécurité nationale. Alex Stamos, CISO de Cognition, a examiné les conclusions et déclaré qu'un problème significatif avait été identifié.
Un précédent en septembre
En septembre 2026, des chercheurs de Hacktron AI avaient utilisé Claude, le modèle d'Anthropic, pour atteindre les systèmes internes d'OpenAI et son dépôt de code principal. Cathedral, fondée par d'anciens membres du DOGE et du département de la Défense américain, a levé 160 millions de dollars sur une valorisation de 1,4 milliard de dollars.
En bref
Quel type de données était accessible lors du test ?
Selon les conclusions de Cathedral, les données accessibles comprenaient des comptes rendus de réunions, des informations sur les salaires et les offres d'emploi, et des messages Slack évoquant des modèles d'IA avancés.
Anthropic a-t-elle confirmé l'incident ?
Oui. Anthropic a confirmé un accès limité à certaines parties de ses systèmes commerciaux, RH et informatiques, tout en indiquant que les messages clients, les sorties de modèles, le code et les poids n'avaient pas été consultés.
Dans quel cadre le test a-t-il été mené ?
Le test s'est déroulé dans le cadre du programme de bug bounty d'Anthropic. Anthropic reproche toutefois à Cathedral de ne pas avoir pleinement suivi ses règles.