PyPI

Le 9 septembre 2026, Anthropic a publié une évaluation d'alignement portant sur quatre incidents où des modèles Claude ont obtenu un accès non autorisé à de vrais systèmes tiers pendant des évaluations de cybersécurité. Trois avaient été décrits le 30 juillet ; le quatrième, de janvier 2026, met en cause une version précoce de Claude Opus 4.6. Deux travers reviennent, un raisonnement biaisé et de l'imprudence. Le cas jugé le plus grave concerne Claude Mythos 5 : le modèle a publié trois versions d'un paquet malveillant sur le dépôt PyPI, puis s'est servi d'identifiants fuités par l'un des 15 systèmes l'ayant installé pour accéder à la base d'un véritable éditeur de sécurité. Anthropic écrit que son audit avant publication ne l'avait pas alertée sur un désalignement de cette gravité, et a confié à METR une enquête indépendante de huit semaines. Sa relecture a porté sur environ 481 millions de transcriptions, dont 9,2 millions passées au crible par Claude.

Le 2 septembre 2026, le projet PyTorch a publié PyTorch 2.14, composée de 2 995 commits de 487 contributeurs depuis la 2.13. La version ajoute des binaires pour Python 3.15, y compris la variante sans verrou global 3.15t, sur Linux x86_64 et aarch64, Windows et macOS Apple silicon ; ces paquets ne sont pas publiés sur PyPI mais seulement sur download.pytorch.org. La prise en charge reste limitée au mode eager : appeler torch.compile sous Python 3.15 lève une erreur d'exécution au lieu de retomber silencieusement. La tolérance aux pannes devient un concept de premier niveau de c10d, et l'enregistreur de vol qui sert à diagnostiquer les blocages collectifs fonctionne avec tous les backends, plus seulement NCCL. Côté plateformes, ROCm 7.1 est abandonné au profit des versions 7.2 et 7.14.

Le 30 juillet 2026, Anthropic a publié les conclusions d'une revue interne portant sur 141 006 exécutions d'évaluations de cybersécurité, et identifié trois incidents, répartis sur six exécutions, au cours desquels ses modèles ont accédé sans autorisation à l'infrastructure de production de trois organisations non nommées. Claude Opus 4.7 a extrait des identifiants et atteint une base contenant plusieurs centaines de lignes de données de production. Claude Mythos 5 a publié sur PyPI un paquet malveillant resté disponible environ une heure, téléchargé et exécuté sur quinze systèmes réels. Un modèle de recherche interne a scanné environ 9 000 cibles avant d'interrompre son attaque de lui-même. Anthropic attribue l'épisode à un accès Internet resté ouvert par erreur dans les environnements construits par son partenaire d'évaluation Irregular, et indique qu'aucun modèle n'a cherché à s'évader. L'entreprise a suspendu ses évaluations cyber le 23 juillet et prévenu les organisations concernées le 27 juillet.