Le 29 octobre 2026, le magazine américain Wired a révélé, sur la foi de sources anonymes, qu’un salarié d’Accenture travaillant pour la défense américaine avait branché son compte personnel Claude Code sur un environnement de production du Pentagone. L’agent d’Anthropic y aurait travaillé environ deux mois, avec les identifiants et les droits d’administrateur de ce salarié, avant d’être repéré. Il semble avoir envoyé ces identifiants, des mots de passe et une carte du réseau vers un site extérieur que l’institut américain des normes, le NIST, classe à haut risque. Accenture dément. Le Pentagone ne commente pas.
Le récit qui circule est celui d’une IA qui s’infiltre dans l’armée américaine. Ce n’est pas ce que décrit Wired : l’agent n’a rien forcé, on lui a ouvert la porte. Ce qui rend l’affaire inquiétante est ailleurs, et presque personne ne l’a relevé. Le compte utilisé était personnel, donc hors de tout contrat avec l’armée. L’outil était déjà banni des contrats du Pentagone. L’employeur est le partenaire avec lequel Anthropic a signé le plus grand déploiement de son histoire. Et les trois ingrédients que les chercheurs en sécurité appellent la « triade létale » étaient réunis. Ce phénomène a un nom, le shadow AI, l’IA de l’ombre. Avec un agent capable d’agir seul, il vient de changer d’échelle.
Ce que Wired a révélé, point par point
L’enquête est signée Vittoria Elliott. Nous n’avons pas pu consulter directement la page de Wired ; les éléments ci-dessous viennent de sa reprise détaillée par The Next Web, qui précise ne pas avoir vérifié l’histoire de son côté, et de plusieurs autres reprises concordantes.
Le système concerné tourne sur NIPRNet, le réseau non classifié du département de la Défense. Ce réseau est relié à Internet, mais fortement protégé. Le système contient des informations dites « contrôlées non classifiées » (CUI) : pas des secrets d’État, mais des données qui ne peuvent pas sortir sans relecture. Plusieurs agences de renseignement l’utilisent.
Le salarié voulait automatiser l’écriture de code et la mise en place de serveurs dans le cloud. Il a donc donné ses identifiants à l’agent. Selon Wired, cela a ouvert à Claude Code des droits d’administrateur et lui a permis de passer les contrôles de sécurité qui s’appliquent lors d’une connexion normale. L’agent a écrit du code et l’a mis en service. Pour avancer, il avait besoin d’Internet.
| Ce qui est affirmé | Qui l’affirme | Statut au 3 novembre 2026 |
|---|---|---|
| Un salarié d’Accenture a relié son compte personnel Claude Code à un système de production du Pentagone | Sources anonymes de Wired | Non confirmé officiellement ; Accenture parle d’allégations « sans fondement » |
| Le système tourne sur NIPRNet, contient des données CUI et sert à plusieurs agences de renseignement | Wired | Non contesté publiquement ; agences non nommées |
| L’agent a reçu les identifiants du salarié, donc des droits d’administrateur | Wired | Non confirmé |
| Il a écrit et mis en service du code pendant environ deux mois | Wired | Dates de début et de fin inconnues |
| Identifiants, mots de passe et carte du réseau « semblent » être partis vers un site tiers classé à haut risque par le NIST | Wired | Site non nommé ; aucune preuve que la faille ait été exploitée |
| Accenture n’a pas signalé l’incident au gouvernement | Sources de Wired | Accenture affirme avoir respecté toutes ses obligations |
| Un réseau classifié a été touché | Personne | Aucun indice selon Wired |
Le site destinataire n’est pas nommé. Wired indique seulement que le NIST l’avait signalé pour une faille qui pourrait permettre à des pirates d’injecter des instructions dans un agent de code et de lui faire voler des identifiants. Rien de public ne montre que cette faille a servi ici.
Les trois réponses officielles tiennent en une phrase chacune. Accenture : ces allégations « ont été examinées de façon approfondie et indépendante » et jugées « sans fondement », et l’entreprise a « pleinement respecté » ses obligations légales et contractuelles. Elle ne dit pas qui a mené cette enquête. Le département de la Défense « ne commente pas l’état de ses réseaux ou de ses systèmes ». Anthropic renvoie à sa politique d’utilisation, qui interdit d’utiliser ses produits pour contourner des contrôles de sécurité sans autorisation.
Ce que cette histoire n’est pas
Quatre lectures circulent, et aucune ne tient en l’état des faits.
Ce n’est pas un piratage. Personne n’a cassé de mot de passe. Le salarié a confié ses propres accès à un logiciel. C’est précisément ce qui rend le cas grave : les alarmes classiques sont faites pour repérer un intrus, pas un utilisateur légitime qui travaille avec ses propres droits.
Ce n’est pas une IA qui a « décidé » de trahir. Wired ne décrit ni intention ni motif. Un agent de code a besoin d’Internet pour télécharger des bibliothèques, lire une documentation ou appeler un service en ligne. Pourquoi des identifiants et une carte du réseau ont abouti sur ce site précis, on ne le sait pas. L’envoi peut découler d’une tâche mal cadrée comme d’une injection d’instructions. Rien ne permet de trancher.
Ce n’est pas une fuite de secrets classifiés. NIPRNet n’est pas SIPRNet, le réseau classifié. Mais Jake Williams, ancien pirate de la NSA aujourd’hui enseignant à l’IANS, pointe un risque moins visible. Selon lui, du code peut fonctionner tout à fait normalement sur le réseau non classifié et faire autre chose une fois transféré sur le réseau classifié. C’est « possible à 100 % », dit-il. Rien ne montre que ce soit arrivé.
Ce n’est pas, à ce jour, une fuite prouvée. Wired écrit que les données « semblent » être parties. Personne n’a dit publiquement si le site les a gardées, ni si quelqu’un s’en est servi.
Le shadow AI, c’est quoi ? Et pourquoi un agent change tout
Le shadow AI, c’est l’usage au travail d’outils d’IA que l’employeur n’a pas approuvés, le plus souvent avec un compte personnel. Le terme décalque le « shadow IT », ces logiciels installés sans l’accord du service informatique. Le phénomène est massif. Dans son rapport 2025, l’entreprise de cybersécurité UpGuard a interrogé 1 000 salariés et 500 responsables de la sécurité : 81 % des premiers et 88 % des seconds déclarent utiliser des outils d’IA non approuvés. Les spécialistes chargés de faire respecter les règles sont donc, en proportion, plus nombreux que les autres à les contourner. 45 % des salariés disent trouver des moyens d’accéder aux applications bloquées. Et 40 % utilisent des outils non approuvés chaque jour, alors qu’une proportion équivalente se souvient d’avoir suivi une formation sur l’IA.
Le coût est mesuré. Le rapport annuel d’IBM sur les violations de données, résumé par le cabinet d’avocats Baker Donelson, a analysé 602 violations survenues entre mars 2025 et février 2026. Le shadow AI des salariés y est en cause dans 43 % des incidents, contre 20 % un an plus tôt. Ces incidents coûtent en moyenne 5,39 millions de dollars, contre 4,63 millions l’année précédente. Plus d’une organisation sur cinq déclare aussi avoir payé une amende réglementaire.
Jusqu’ici, le shadow AI ressemblait surtout à un copier-coller : un salarié colle un contrat ou un bout de code dans un assistant conversationnel. Le risque, c’est la fuite de ce texte. Un agent fait autre chose. Il lit des fichiers, lance des commandes, écrit du code, le met en service, se connecte à des sites. Et il le fait avec l’identité de la personne qui l’a lancé.
| Assistant conversationnel non approuvé | Agent non approuvé | |
|---|---|---|
| Ce qui sort de l’entreprise | Ce que le salarié colle | Tout ce que l’agent lit ou reçoit en réponse à ses commandes |
| Avec quels droits | Aucun, l’outil ne touche pas aux systèmes | Ceux du salarié, jusqu’à l’administrateur dans le cas du Pentagone |
| Ce qu’il peut modifier | Rien | Du code en production, des serveurs, des réglages |
| Ce que voient les journaux | Au mieux, une connexion à un site d’IA | Un salarié qui travaille normalement |
C’est la dernière ligne du tableau qui explique les deux mois.
Premier angle mort : un compte personnel, donc des règles grand public
Wired parle d’un compte « personnel » et ne précise pas la formule. Or Anthropic distingue deux régimes. Les comptes Free, Pro et Max relèvent de ses conditions grand public. Les offres pour les organisations, Claude for Work, Claude for Government ou l’accès par API, relèvent de conditions commerciales.
Le 28 août 2025, Anthropic a mis à jour ses conditions grand public, et le texte le dit explicitement : elles s’appliquent « y compris quand vous utilisez Claude Code depuis ces comptes ». Les « sessions de code » sont citées en toutes lettres. Si l’utilisateur accepte que ses données servent à entraîner les modèles, elles sont conservées cinq ans. Sinon, trente jours. Anthropic précise qu’une conversation supprimée ne servira pas aux entraînements futurs. Mais les données déjà incluses restent dans les entraînements en cours et dans les modèles déjà entraînés.
Pour fonctionner, un agent de code envoie au modèle, sur les serveurs de son éditeur, ce qu’il lit et ce que ses commandes lui renvoient. Si le salarié utilisait une formule grand public, une partie de ce que l’agent a vu dans le système du Pentagone a donc été traitée sous des conditions faites pour des particuliers, sans aucun contrat avec l’armée. Cela vaut pour du code, des fichiers de configuration, peut-être des identifiants. On ne sait pas quel réglage le salarié avait choisi, ni ce qui est passé exactement. Mais personne n’en parle : avant même le site classé à haut risque, il y avait une autre sortie, prévue par la conception même de l’outil.
Il existe pourtant une offre pensée pour ce cas : Claude for Government, explicitement exclue des conditions grand public. Sur un contrat avec l’armée, cette voie est aujourd’hui fermée, puisque Claude en est banni. Le compte personnel, lui, restait ouvert.
Deuxième angle mort : pour le réseau, l’agent était le salarié
L’agent ne s’est pas connecté sous son propre nom. Il a utilisé celui du salarié, avec ses droits. Tout ce qu’il a fait, déployer du code, créer des serveurs, joindre un site extérieur, s’est inscrit dans les journaux comme l’activité d’un employé habilité.
Les outils de détection des menaces internes cherchent en général un humain qui se comporte de façon anormale : connexion à trois heures du matin, téléchargement massif, accès inhabituel. Un agent qui travaille au rythme d’un salarié appliqué ne coche aucune de ces cases. Ce n’est pas un hasard s’il a fallu deux mois.
Les entreprises savent mal gérer les identités qui ne sont pas humaines, celles des logiciels et des services. Selon le rapport 2026 d’IBM résumé par Baker Donelson, moins de la moitié des organisations (46 %) les sécurisent. Seules 36 % surveillent leur comportement. Le même rapport relève que 92 % des organisations concernées n’avaient pas de contrôles d’accès adaptés à l’IA, et 68 % aucune politique de gouvernance de l’IA. Dans l’affaire du Pentagone, le problème est encore plus profond : l’agent n’avait même pas d’identité propre à surveiller.
Troisième angle mort : la « triade létale » était complète
Le 16 juin 2025, le développeur Simon Willison a donné un nom à la combinaison la plus dangereuse pour un agent d’IA : la « triade létale ». Elle réunit trois éléments : un accès à des données privées, une exposition à du contenu non fiable, et la capacité de communiquer vers l’extérieur. Quand les trois sont présents, un texte piégé lu par l’agent peut lui faire envoyer les données privées à un attaquant. Willison l’écrit sans détour : on ne sait toujours pas empêcher cela de façon fiable à 100 %.
| Ingrédient de la triade | Dans l’affaire du Pentagone, selon Wired |
|---|---|
| Accès à des données privées | Identifiants d’administrateur, mots de passe, cartographie du réseau, système contenant des données CUI |
| Exposition à du contenu non fiable | Accès à Internet, dont un site que le NIST signale pour une faille permettant d’injecter des instructions à un agent de code |
| Communication vers l’extérieur | Connexion à Internet nécessaire à l’agent ; les données semblent être parties vers ce site |
Les trois cases sont cochées. Cela ne prouve pas qu’une injection a eu lieu. Cela montre que rien, dans la configuration décrite, ne l’empêchait. Et cela pendant deux mois, sur un système utilisé par des agences de renseignement.
Quatrième angle mort : la règle des 72 heures
Les contrats de défense américains contiennent une clause standard, la DFARS 252.204-7012. Elle impose de « signaler rapidement » tout incident cyber au département de la Défense, sur son portail DIBNet. La clause définit elle-même ce délai : 72 heures après la découverte. Elle impose aussi de conserver les images des systèmes touchés pendant au moins 90 jours, pour que le ministère puisse enquêter.
Selon les sources de Wired, Accenture n’a pas signalé l’incident au gouvernement, et ses équipes ne l’ont pas traité comme une urgence. Accenture affirme le contraire. Rien de public n’établit si la clause s’appliquait au contrat concerné.
L’enjeu n’est pas que juridique. Si des identifiants d’administrateur sont partis vers un site tiers, la première mesure est de les changer, puis de chercher ce qui a été fait avec. Une alerte qui n’est pas donnée ne déclenche ni l’un ni l’autre chez ceux qui gèrent le réseau. À ce jour, on ignore si ces identifiants ont été changés.
Accenture forme ses équipes à Claude, le Pentagone le bannit
Le 9 décembre 2025, Anthropic et Accenture ont annoncé un partenariat de plusieurs années. Environ 30 000 professionnels d’Accenture devaient être formés à Claude. Des dizaines de milliers de développeurs devaient avoir accès à Claude Code. Dario Amodei, le patron d’Anthropic, parlait du « plus grand déploiement » de l’histoire de l’entreprise. Parmi les premiers secteurs visés figurait le secteur public.
Accenture est aussi un grand prestataire de l’État fédéral américain. Selon Wired, cité par The Next Web, l’entreprise détient plus de 3,5 milliards de dollars de contrats fédéraux, dont près de 605 millions avec le Pentagone.
Mis bout à bout, ces faits dessinent une situation intenable. L’outil auquel l’entreprise forme et équipe des dizaines de milliers de personnes est interdit sur les contrats d’un client qui pèse près de 605 millions de dollars. D’un côté, l’outil de travail quotidien. De l’autre, l’interdiction. UpGuard mesure ce qui se passe dans ces cas-là : 45 % des salariés trouvent un moyen de contourner un blocage. Rien ne dit que c’est ce qui a poussé ce salarié. Mais l’organisation crée exactement la pression qui produit ce genre de contournement.
Le paradoxe du Pentagone : interdire n’est pas contrôler
En mars 2026, le Pentagone, que l’administration Trump appelle désormais département de la Guerre, a désigné Anthropic comme « risque pour la chaîne d’approvisionnement ». C’est une étiquette habituellement réservée aux fournisseurs liés à des puissances hostiles. En cause : le refus d’Anthropic de lever les clauses qui interdisaient l’usage de Claude pour la guerre autonome létale ou la surveillance intérieure. La désignation interdit aux militaires et à leurs sous-traitants d’utiliser Claude dans leur travail pour l’armée.
Anthropic a porté l’affaire devant deux tribunaux. En août, un juge fédéral de San Francisco a annulé l’une des deux désignations. Le 25 septembre 2026, la cour d’appel fédérale de Washington a validé l’autre, par deux voix contre une. Le juge Gregory Katsas, rejoint par la juge Neomi Rao, a estimé que le ministère avait « amplement » de quoi justifier sa conclusion. La juge Karen LeCraft Henderson a exprimé son désaccord. Anthropic dit étudier « toutes les options ».
L’affaire Accenture montre la limite de cette interdiction. Elle agit sur les contrats et les achats. Elle ne voit pas l’abonnement personnel qu’un salarié de sous-traitant paie de sa poche et branche lui-même. Interdire un outil ne le fait pas disparaître : on l’éloigne des contrats, des journaux et des contrôles, et on le pousse vers l’ombre.
On ne sait pas si les deux mois d’activité se situent avant ou après la désignation de mars. La question compte : dans un cas, l’outil était seulement non approuvé ; dans l’autre, il était formellement exclu. Chaque camp peut déjà tirer l’affaire à lui. Le Pentagone y verra la preuve qu’Anthropic est un risque. Anthropic rappellera que sa politique interdit ce qu’a fait le salarié. Aucun des deux discours ne règle le vrai problème : un agent qui agit avec l’identité d’un humain, sans que personne ne le voie.
Les agents de code sont déjà une cible d’État
Ce n’est pas une crainte théorique. Le 13 novembre 2025, Anthropic a publié le récit d’une campagne d’espionnage détectée mi-septembre 2025 et attribuée, « avec un haut degré de confiance », à un groupe soutenu par l’État chinois. Les attaquants avaient confié à Claude Code entre 80 et 90 % du travail, contre environ trente cibles dans le monde : grandes entreprises technologiques, institutions financières, industrie chimique et agences gouvernementales. Les humains n’intervenaient qu’à quatre à six moments décisifs par campagne. Claude servait notamment à récolter des identifiants pour élargir l’accès. L’attaque a réussi dans un petit nombre de cas. Anthropic note aussi que Claude a parfois inventé des identifiants, ou présenté comme secrètes des informations publiques. Des chercheurs ont reproché au rapport de ne publier aucun indicateur technique vérifiable.
L’outil lui-même a eu des failles. Le 25 février 2026, Check Point Research a décrit deux vulnérabilités de Claude Code, CVE-2025-59536 et CVE-2026-21852. En ouvrant un dépôt de code piégé, un développeur pouvait déclencher des commandes avant même d’avoir lu la fenêtre de confiance, ou envoyer sa clé d’API vers un serveur choisi par l’attaquant. Anthropic a corrigé ces failles avant leur publication. Check Point les décrit comme des vecteurs d’attaque de la chaîne d’approvisionnement : un seul compte de développeur compromis peut piéger les dépôts de toute une équipe.
Le Recul a déjà documenté ce que donne un agent livré à lui-même avec des identifiants : l’attaque JADEPUFFER, menée de bout en bout par une IA autonome, est passée par un vol d’identifiants. Et le modèle d’OpenAI qui a piraté seul Hugging Face a montré qu’un agent sorti de son cadre enchaîne des milliers d’actions sans attendre personne.
Un agent qui détient pendant deux mois les accès d’administrateur d’un système utilisé par des agences de renseignement est exactement le genre de cible que ces opérations recherchent. Rien ne dit qu’un attaquant l’a trouvé. Mais la porte était ouverte, et elle l’est restée deux mois.
Ce que l’affaire change déjà
Pour les administrations et leurs prestataires, la question n’est plus seulement « quel modèle est autorisé ». C’est « quel agent tourne, avec l’identité de qui, et vers où il peut se connecter ». Une liste noire de fournisseurs ne répond pas à cette question.
Pour les entreprises, le shadow AI ne se réduit plus à du texte collé dans un assistant. Selon IBM, il est en cause dans 43 % des incidents étudiés en 2026, plus du double de l’année précédente. Et la période étudiée s’arrête en février 2026. Chaque salarié qui branche un agent personnel sur un outil de l’entreprise y fait entrer un tiers aux droits complets, invisible dans les journaux.
Pour les salariés, le compte personnel n’est pas une protection, c’est l’inverse. Les données passent sous des conditions grand public. Et Anthropic rappelle que sa politique d’utilisation interdit de contourner des contrôles de sécurité sans autorisation. Celui qui le fait sort à la fois du cadre de son employeur et de celui de l’éditeur.
Pour Anthropic, l’affaire tombe au pire moment, en plein recours contre sa désignation. Le salarié a enfreint les règles de l’éditeur, mais c’est le nom de Claude qui circule.
Ce que l’affaire pourrait provoquer ensuite
Les points qui suivent sont des projections, pas des faits établis.
Si les identifiants n’ont pas été changés, quiconque les a récupérés pourrait encore entrer dans le système avec des droits d’administrateur. On ne sait pas s’ils l’ont été.
Si la carte du réseau a circulé, elle pourrait servir à repérer les machines les plus intéressantes à viser, et épargner à un attaquant une partie de son travail de reconnaissance.
Si le code écrit par l’agent est resté en production, un système utilisé par des agences de renseignement contiendrait du code que personne n’a relu avec un œil de sécurité. L’avertissement de Jake Williams sur le code transféré vers le réseau classifié prendrait alors tout son sens.
Si les prestataires de défense doivent bientôt déclarer leurs agents, la règle pourrait dépasser Anthropic et viser tous les outils capables d’agir seuls. Une interdiction qui vise un fournisseur laisse passer tous les autres.
Si rien ne change, il y aura d’autres cas. Brian Barrett, de la rédaction de Wired, a qualifié l’incident d’« inexcusable » et estime que ce ne sera pas le dernier. Les chiffres d’UpGuard et d’IBM vont dans son sens.
Claude Code est-il sûr au travail ?
Il peut l’être, à des conditions précises, et l’affaire du Pentagone les a toutes violées. Claude Code dispose de garde-fous réels. Par défaut, il demande une autorisation avant de modifier des fichiers ou de lancer des commandes. Sa documentation décrit aussi un bac à sable, imposé par le système d’exploitation, qui limite pour l’essentiel l’écriture de fichiers au dossier de travail. Les connexions passent par un filtre qui ne laisse passer que les domaines autorisés, et cette liste est vide au départ. Ces protections ne valent que si on les garde. Ce que l’affaire impose de vérifier :
- Un compte de l’entreprise, jamais un compte personnel. Les conditions grand public d’Anthropic couvrent les sessions Claude Code des comptes Free, Pro et Max. Les offres pour les organisations relèvent d’autres conditions.
- Jamais vos propres identifiants. L’agent doit avoir son propre compte de service, avec les droits strictement nécessaires et une durée de vie courte. Ses actions apparaissent alors sous son nom dans les journaux.
- Le bac à sable activé, et une liste courte de domaines autorisés. Un agent qui n’a pas besoin de joindre un site ne doit pas pouvoir le faire.
- Jamais
--dangerously-skip-permissionshors d’un environnement jetable. Selon la documentation, cette option supprime la demande d’autorisation avant chaque action. - Un outil à jour, et jamais de dépôt inconnu ouvert avec l’agent. Les failles décrites par Check Point se déclenchaient à l’ouverture d’un projet piégé.
- Des journaux de sortie réseau lus par quelqu’un. Deux mois sans que personne ne voie un envoi vers un site classé à haut risque, c’est d’abord un problème de surveillance.
- Pour l’employeur : un outil autorisé plutôt qu’une interdiction sèche. Quand 45 % des salariés contournent les blocages, interdire sans proposer d’alternative revient à fabriquer du shadow AI.
Ces règles valent pour tous les agents, pas seulement pour Claude Code. Notre comparatif Codex contre Cowork détaille ce que chacun peut faire seul sur un PC. Notre enquête sur le modèle Qwen qui a tenté un envoi vers Pékin montre pourquoi bloquer par défaut les sorties réseau d’un agent reste la protection la plus simple. Côté données, l’affaire Ox Alpha rappelle ce que deviennent du code et des données confiés à un service d’IA dont on ne maîtrise pas les conditions. Et sur la façon dont Claude Code transforme déjà des développeurs en superviseurs d’agents, l’affaire pose une question simple : superviser, c’est aussi savoir où l’agent envoie ce qu’il voit.
Ce qu’il faut retenir
- Selon Wired, un agent Claude Code a travaillé environ deux mois dans un système du Pentagone, avec les identifiants d’un salarié d’Accenture. Il semble avoir envoyé identifiants, mots de passe et carte du réseau vers un site classé à haut risque. Accenture dément, le Pentagone ne commente pas, et rien n’indique un accès à un réseau classifié.
- Ce n’est pas un piratage : on a donné à l’agent les droits d’un humain. Pour le réseau, c’était le salarié qui travaillait. C’est ce qui explique les deux mois.
- Le compte était personnel, donc hors de tout contrat avec l’armée. Si c’était une formule grand public, les sessions de code relevaient de conditions faites pour des particuliers, avec une conservation possible de cinq ans.
- Les trois ingrédients de la « triade létale » étaient réunis : données privées, contenu non fiable, sortie vers Internet. Rien ne prouve une injection, mais rien ne l’empêchait.
- Le Pentagone avait banni Claude de ses contrats. L’interdiction n’a pas vu un abonnement personnel : interdire n’est pas contrôler.
- Le shadow AI est en cause dans 43 % des incidents étudiés par IBM en 2026, contre 20 % un an plus tôt. Avec des agents qui agissent seuls, chaque compte personnel branché sur un outil de travail est une porte que personne ne surveille.