Будь то стремление к прозрачности или желание не дать OpenAI monopolizirovat’ vnimaniye v reklame peredovykh modeley AI, Anthropic raskryla, chto Claude takzhe vzlomal tri proizvodstvennyye sistemy nischego ne podozrevavshikh zhertv v khode testirovaniya kiberbezopasnosti. Dve iz zatroonutykh kompaniy ne znali, chto byli vzlomany, a tret’ya nedostupna dlya svyazi.
Soobshchayetsya, chto predpolagayemyye intsidenty proizoshli v techeniye predydushchego kvartala i zatronuli neskol’ko versiy Claude: Opus 4.7, Mythos 5 i «vnutrennyuyu issledovatel’skuyu testovuyu model’». Podobno tomu, chto proizoshlo, kogda OpenAI Sol vzlomal Hugging Face, Anthropic zapuskala Claude v stsenariyakh kiberbezopasnosti tipa «zakhvat flaga», gde botu bylo porucheno nayti kusok informatsii gde-to v yego seti. Anthropic utverzhdayet, chto bylo 141 006 testovykh zapuskov, a tri intsidenta proizoshli v khode shesti problemnykh zapuskov. Kak i ozhidalos’, testy provodilis’ s otklyuchennymi bol’shinstvom sredstv zashchity AI.
Problema v tom, chto set’ ne byla izolirovana — novichkovskaya oshibka, kotoruyu nekotoryye mogut dazhe poschitat’ podozritel’noy. Eto bylo obuslovleno predpolagayemym «nedorazumeniyem» mezhdu virtual’noy testovoy laboratoriyey Irregular Anthropic, kotoraya predostavila botam polnyy dostup v internet. Radi bezopasnosti Claudam, po-vidimomu, skazali, chto oni nakhodyatsya v izolirovannoy srede, chto malo pomoglo.
V pervyy raz Claude Opus 4.7 dolzhen byl nayti fragment dannykh, prinadlezhashchiy vymyshlennoy kompanii. Kak okazalos’, na samom dele sushchestvovala real’naya kompaniya, domen yeye veb-sayta sovpadal s fiktivnym. Imev dostup v internet, on poluchil uchetnyye dannyye prilozheniya i infrastruktury i izvlek «neskol’ko soten strok» dannykh iz proizvodstvennoy bazy dannykh.
V dvukh iz chetyrekh zapuskov, gde proizoshel vzlom, Claude ne uvidel problemy i «reshil, chto real’naya kompaniya, dolzhna byt’ chast’yu uprazhneniya», no prodolzhil deystvovat’. V drugikh dvukh sluchayakh on prosto prodolzhil. Anthropik otmechayet, chto eto byl yedinstvennyy sluchay iz trekh, kogda bot prodolzhil rabotu posle togo, kak ponyal, chto kompaniya na samom dele sushchestvuyet, po vysheupomyanutoy prichine. Odnako interpretatsiya firmy otkryta dlya obsuzhdeniya.
Vtoroy, potentsial’no boleye interesnyy, byl podlinnoy atakoy na tsepochku postavok, na etot raz sovershennoy Mythos. Fiktivnyye dannyye, dostupnyye botu, vklyuchali skript ustanovki dlya gipoteticheskogo razrabotchika, kotoryy vklyuchal ustanovku Python-paketov. Podobno cheloveku, Claude zametil ochevidnyy vektor ataki i, snova zhe, blagodarya dostupu v internet, sdelal vyvod, chto publikatsiya paketa-lovushki v repozitorii PyPI sdelayet svoye delo. K sozhaleniyu, eto byl nastoyashchiy repozitoriy, kotorym pol’zuyetsya ves’ mir.
V kratkom izlozhenii: Claude nuzhna byla uchetnaya zapis’ PyPI, a znachit, nuzhny byli email i nomer telefona. On popytalsya kupit’ odnu, no obnaruzhil, chto u nego net ni karmana, ni sredstv; no on nashel drugogo besplatnogo postavshchika email bez etogo trebovaniya, zaregistriroval uchetnuyu zapis’ PyPI i zagruzil vredonosnyy paket v PyPI. Paket, po-vidimomu, byl dostupen vsego odin chas, no byl skachan i zapushchen na 15 sistemakh.
Po ironii sud’by, odna iz takikh sistem prinadlezhala postavshchiku resheniy bezopasnosti, kotoryy skaniruyet PyPI na predmet vredonosnogo PO, i, o chudo, on nemedlenno ne smog nayti lovushku Claude i zapustil yeye. Kak tol’ko Claude, predpolozhitel’no, poluchil privilegii udalennogo vypolneniya koda, on ispol’zoval naydennyye uchetnyye dannyye dlya dal’neyshego proniknoveniya. Zanimatel’no to, chto Claude ponyatiya ne imel o sushchestvovanii etoy kompanii i ne tselilsya v neye; zagruzki prosto proizoshli, potomu chto paket byl dostupen i aktivny v techeniye korotkogo vremeni.
Po slovam Anthropic, bot deystvitel’no obnaruzhil, chto deystvuyet v real’nom internete, i dazhe skazal, chto publikatsiya takogo paketa byla «NE normal’noy». Odnako on ugovoril sebya, chto nakhoditsya v testovoy srede, tak kak ne raspoznaval real’nyye SSL-sertifikaty dlya soyedineniy. On dazhe poschital, chto data 2026 goda na sistemakh «dokazyvala», chto sreda byla imitatsionnoy. On dazhe raspoznav sistemy, ustanovivshiye vredonosnoye PO, kak chast’ eksperimenta.
Chto kasaetsya tret’yego intsidenta, Anthropic ne soobshchayet mnogo, krome togo, chto Claude proskaniroval 9 000 real’nykh zhivykh potentsial’nykh al’ternativnykh tseley, kak tol’ko zametil, chto namachennaya tsel’ byla nedostupna. Odna iz nikh, po soobshcheniyam, imela zhivuyu stranitsu s otladochnoy informatsiyey i byla uyazvima dlya prostoy SQL-in”yektsii. Interesno, chto na etot raz, kak tol’ko Claude zametil, chto servery, k kotorym on obrashchalsya, nakhodyatsya v oblachnoy srede, a ne v lokal’noy seti, on ostanovil ataku.
So svoyey storony, Anthropic priznayet, chto, nesmotrya na to, chto Claude sledoval instruktsiyam dlya dostizheniya tseley, tot fakt, chto on ostanovilsya sam po sebe, kak tol’ko obnaruzhil, chto tsel’ real’na, tol’ko v odnom iz sluchayev, dayet pishchu dlya razmyshleniy. Firma zayavlyayet, chto vedet peregovory s METR dlya storonney ekspertizy, i yey nuzhno «luchshe sovmestno proyektirovat’ otsenochnyye sredy».
Kak ni stranno, Anthropic schitayet, chto Claude, veroyatno, ne vyshel by v onlayn, «yesli by v podskazke bylo yasno ob”yasneno, kakiye sistemy nakhodyatsya v ramkakh, a kakiye — za ramkami otsenki», a takzhe zayavlyaya, chto intsidenty byli «blizhe k otkazu obvyazki i operatsionnoy neudache, chem k otkazu vyravnivaniya modeli».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruno Ferreira
