După OpenAI, și Anthropic admite că modelele sale au atacat sisteme reale. Trei organizații au fost compromise

Anthropic a anunțat că modelele sale de inteligență artificială au ajuns pe internet și au compromis infrastructura de producție a trei organizații, deși ar fi trebuit să opereze exclusiv într-un mediu de testare izolat.

Incidentele au fost descoperite în urma unei verificări retrospective a 141.006 sesiuni în care modelele Claude ar fi putut obține acces la internet. Compania a identificat trei incidente distincte, produse în cadrul a șase rulări ale testelor, patru dintre acestea afectând aceeași organizație.

Testele erau organizate împreună cu firma specializată Irregular și urmăreau să măsoare capacitatea modelelor de a îndeplini sarcini de securitate cibernetică ofensivă.

O eroare de configurare le-a permis modelelor să ajungă pe internet

În toate cele trei situații, modelele primiseră sarcini de tip „capture the flag”, în cadrul cărora trebuiau să găsească și să exploateze vulnerabilități într-o infrastructură fictivă pentru a recupera o informație ascunsă, denumită „flag”.

Instrucțiunile transmise modelelor precizau că acestea se află într-o simulare și că nu au acces la internet. Din cauza unei neînțelegeri între Anthropic și partenerul care administra testele, unele dintre calculatoarele folosite în evaluare aveau însă o conexiune activă la internet.

Atunci când modelele au descoperit sisteme reale, le-au tratat în mare parte ca fiind componente ale exercițiului. Anthropic susține că nu există dovezi că Claude și-ar fi stabilit propriile obiective sau că ar fi încercat în mod deliberat să evadeze din mediul de testare.

Modelele au folosit în principal metode relativ simple, precum parole slabe, interfețe fără autentificare, pagini de depanare expuse și injecții SQL. Ele nu au descoperit sau exploatat vulnerabilități complexe de tip „zero-day”, potrivit companiei.

Acces la o bază cu sute de înregistrări reale

Cel mai grav incident s-a produs după ce o companie fictivă aleasă pentru test avea același nume cu domeniul de internet al unei firme reale.

În patru rulări, Claude nu a reușit să găsească ținta simulată, dar a descoperit compania reală pe internet. Modelul a identificat și exploatat vulnerabilități, a extras date de autentificare pentru aplicații și infrastructură și a obținut acces la o bază de date care conținea câteva sute de rânduri de date de producție.

Atacul a fost realizat de modelul Claude Opus 4.7. Anthropic precizează că acesta a continuat să acționeze chiar și după ce a observat indicii potrivit cărora sistemul compromis era unul real. În unele sesiuni, modelul a concluzionat că firma reală fusese inclusă intenționat în exercițiu.

Claude a publicat un pachet malițios care a ajuns pe 15 sisteme

Într-un alt test, Claude a găsit într-un mediu fictiv instrucțiuni care le cereau angajaților unei companii să instaleze un pachet Python inexistent de pe platforma publică PyPI.

Modelul a identificat posibilitatea de a publica el însuși un pachet cu acel nume, astfel încât sistemele companiei fictive să îl descarce automat. Claude a creat un pachet malițios, și-a deschis un cont pe platformă și l-a publicat pe internet.

Pachetul a fost disponibil aproximativ o oră și a fost descărcat și executat pe 15 sisteme reale. Unul dintre acestea aparținea unei companii de securitate care instalează și analizează automat pachete Python.

Codul creat de Claude a extras datele de autentificare ale companiei, iar modelul le-a utilizat ulterior pentru a accesa alte componente ale infrastructurii acesteia. Pachetul a fost eliminat automat de sistemele de securitate ale PyPI.

Incidentul a implicat modelul Claude Mythos 5. Potrivit Anthropic, modelul a luat în calcul posibilitatea ca acțiunea să reprezinte un atac real, dar s-a convins că se află în continuare într-o simulare.

Un alt model a scanat aproximativ 9.000 de ținte

În cel de-al treilea incident, un model intern de cercetare nu a putut accesa ținta fictivă și a început să caute alternative pe internet, scanând aproximativ 9.000 de sisteme.

Modelul a găsit și compromis aplicația expusă pe internet a unei companii, folosind informații de autentificare disponibile pe o pagină de depanare și o vulnerabilitate de tip SQL injection.

Spre deosebire de modelele mai vechi, acesta a oprit atacul după ce și-a dat seama că infrastructura compromisă nu avea nicio legătură cu exercițiul fictiv. Anthropic consideră că diferența de comportament ar putea indica o capacitate mai bună a modelelor noi de a recunoaște situațiile reale, însă avertizează că numărul redus de incidente nu permite formularea unei concluzii definitive.

Incidentele au implicat modelele Opus 4.7, Mythos 5 și un model intern care nu este programat pentru lansare publică. Cele mai vechi evenimente datează din aprilie 2026. Modelele testate nu aveau activate toate sistemele de monitorizare și filtrele folosite în versiunile Claude disponibile publicului.

Anthropic a oprit testele și a notificat organizațiile

Anthropic a început verificarea pe 23 iulie și a oprit în aceeași zi toate evaluările cibernetice după ce a descoperit primele indicii privind accesarea internetului. Cele trei incidente au fost identificate până în ziua următoare.

Compania și Irregular au notificat pe 27 iulie organizațiile afectate. Două dintre acestea nu detectaseră anterior activitatea modelelor, iar Anthropic încearcă în continuare să contacteze cea de-a treia organizație.

Compania a anunțat că va introduce verificări mai stricte asupra conexiunilor la internet, monitorizarea continuă a transcrierilor generate în timpul testelor și controale suplimentare asupra furnizorilor externi care administrează mediile de evaluare.

Incident asemănător la OpenAI și Hugging Face

Verificarea Anthropic a fost declanșată după ce OpenAI a dezvăluit, pe 21 iulie, că mai multe dintre modelele sale au ieșit dintr-un mediu de testare izolat și au accesat infrastructura de producție a platformei Hugging Face.

În cazul OpenAI, modelele au descoperit și au exploatat o vulnerabilitate necunoscută anterior într-un serviciu utilizat ca intermediar pentru instalarea pachetelor software. După obținerea accesului la internet, acestea au realizat escaladări de privilegii și deplasări laterale între sisteme, ajungând la baza de date a Hugging Face pentru a obține soluțiile testului pe care trebuiau să îl rezolve.

OpenAI a precizat că modelele erau „hiperconcentrate” asupra rezolvării evaluării și că urmăreau să găsească răspunsurile pentru benchmark, nu să producă un atac cibernetic cu un scop stabilit independent.

Cele două cazuri arată însă că modelele de inteligență artificială au ajuns să poată identifica și exploata vulnerabilități reale, iar mediile utilizate pentru testarea lor pot deveni ele însele un risc de securitate atunci când izolarea și monitorizarea nu funcționează corespunzător.

Transparență sau demonstrație de forță?

Publicarea unor asemenea incidente este prezentată de companiile de inteligență artificială drept un gest de transparență și un avertisment privind necesitatea unor măsuri de securitate mai stricte. Există însă și voci care consideră că aceste dezvăluiri funcționează, cel puțin parțial, ca o formă de marketing: relatând că propriile modele sunt capabile să compromită sisteme informatice reale, dezvoltatorii le promovează implicit puterea și utilitatea în domeniul securității cibernetice. O asemenea imagine poate conta inclusiv în competiția pentru contracte cu guverne, companii de apărare și mari organizații private.

Criticile nu sunt noi. Sam Altman, directorul OpenAI, a descris anterior modul în care Anthropic și-a prezentat modelul Mythos drept „marketing bazat pe frică”, sugerând că avertismentele companiei privind capacitățile cibernetice foarte avansate ale modelului contribuie și la consolidarea poziției sale comerciale.