METR est un organisme à but non lucratif qui évalue les capacités des grands modèles d'IA pour le compte des éditeurs. Une clé d'API est le code qui permet à une application d'appeler un modèle ; chaque appel est facturé à son détenteur. Le 31 août 2026, METR a publié le récit de deux incidents de sécurité survenus chez lui. En mars 2026, un chercheur avait installé sur un serveur personnel une application d'orchestration d'agents « vibe-codée », c'est-à-dire écrite avec un assistant d'IA sans revue, protégée par une authentification Google. Une faille a désactivé cette authentification en silence : le système est resté ouvert sur internet plusieurs jours. Selon METR, l'attaquant a trouvé le site en parcourant les listes publiques de certificats fraîchement enregistrés, à la recherche de mots-clés liés aux agents. Il a demandé à l'agent de lui révéler sa clé, a ajouté un accès permanent, puis a consommé pendant trois semaines des crédits d'une valeur d'environ 600 000 dollars. METR n'a rien vu : ses volumes habituels sont élevés, son tableau de bord n'affichait pas les requêtes refusées, et cette clé n'avait aucun plafond de dépense. Depuis, tout déploiement public passe par une revue de sécurité et chaque clé porte une alerte de dépense.