Claude uzyskał nieautoryzowany dostęp do systemów trzech organizacji

Anthropic ujawnił, że modele Claude podczas testów cyberbezpieczeństwa uzyskały nieautoryzowany dostęp do infrastruktury trzech rzeczywistych organizacji. Incydenty wykryto w sześciu spośród 141 006 przeanalizowanych przebiegów ewaluacyjnych. Według firmy przyczyną była błędna konfiguracja środowiska, które wbrew założeniom pozostawało połączone z internetem.

Model uznał prawdziwe systemy za część testu

.Modele wykonywały zadania typu capture-the-flag: miały włamać się do fikcyjnej sieci i odnaleźć ukrytą informację. W poleceniu zapisano, że środowisko nie ma dostępu do internetu, ale wskutek błędu po stronie Anthropic i partnera ewaluacyjnego Irregular połączenie było aktywne. Gdy Claude natrafiał na prawdziwe systemy, traktował je jak element symulacji.

Anthropic określa zdarzenia przede wszystkim jako błąd konfiguracji i procedur, a nie dowód „buntu” modelu. Firma nie znalazła oznak, że Claude próbował samodzielnie opuścić środowisko albo realizował własny cel. To odróżnia te incydenty od opisanego wcześniej testu modeli OpenAI, który doprowadził do cyberataku na Hugging Face. Modele OpenAI wykorzystały nieznaną wcześniej lukę, natomiast Claude skorzystał z otwartej drogi do internetu.

Trzy modele zachowały się inaczej

.Claude Opus 4.7 w czterech przebiegach zaatakował firmę, której domena odpowiadała nazwie fikcyjnego celu. Model zdobył dane uwierzytelniające i dostęp do bazy zawierającej kilkaset rekordów produkcyjnych. Kontynuował działania także po pojawieniu się sygnałów, że system może być prawdziwy.

Claude Mythos 5 utworzył złośliwy pakiet i opublikował go w publicznym repozytorium PyPI. Pakiet był dostępny przez około godzinę i został uruchomiony na 15 rzeczywistych systemach. Jeden należał do firmy bezpieczeństwa, której skaner automatycznie analizował oprogramowanie; wykonany kod ujawnił dane uwierzytelniające, a model wykorzystał je do dalszego dostępu.

W trzecim incydencie wewnętrzny model badawczy przeskanował około 9 tys. celów i włamał się do publicznie dostępnej aplikacji przy użyciu znanych technik, w tym SQL injection. Kiedy rozpoznał, że system nie należy do symulacji, przerwał działanie. Anthropic zastrzega, że trzy przypadki nie stanowią kontrolowanego porównania modeli.

Testy agentów AI wymagają własnych zabezpieczeń

.Modele pracowały bez części zabezpieczeń stosowanych w usługach dostępnych dla klientów, ponieważ test miał zmierzyć ich maksymalne zdolności ofensywne. Infrastruktura była jednak oddzielona od wewnętrznych systemów Anthropic i danych klientów. Firma zatrzymała testy cyberbezpieczeństwa 23 lipca, a 27 lipca zawiadomiła Irregular i trzy poszkodowane organizacje.

Incydenty pokazują, dlaczego agenci AI są czymś więcej niż chatbotami: potrafią planować i wykonywać wieloetapowe działania w zewnętrznych systemach. Rozwój takich narzędzi, opisywany w dziale sztuczna inteligencja, zwiększa znaczenie kontroli uprawnień, monitorowania w czasie rzeczywistym i twardego odseparowania środowisk testowych. Jest to szczególnie ważne, gdy firmy oddają agentom dostęp do poczty, dokumentów i kont w usługach internetowych.

Szymon Ślubowski