L'évaluateur qu'Anthropic veut à demeure s'est fait voler une clé

METR, l'organisme d'évaluation indépendant que le plan de Dario Amodei nomme et à qui Anthropic promet « des bureaux dans nos locaux, des badges d'accès et des ordinateurs de l'entreprise », a publié le 31 août le compte rendu de deux incidents de sécurité.

En mars, un de ses chercheurs faisait tourner des agents sur une instance EC2 personnelle, ouverte sur l'extérieur derrière une authentification Google. Un défaut a désactivé silencieusement cette authentification pendant plusieurs jours. L'attaquant, qui aurait repéré la machine en parcourant les registres de certificats à la recherche de sites récents portant des mots-clés d'agents, a demandé à un agent de lui révéler la clé d'API du fournisseur de modèles, puis posé une clé SSH pour rester. Il a consommé pendant trois semaines l'équivalent de 600 000 dollars de crédits — fournis gratuitement, donc sans perte sèche. Rien ne l'a signalé : ce trafic ressemblait à celui d'une évaluation, et aucun plafond ne s'appliquait à une clé à crédits offerts.