Через тиждень після того, як OpenAI повідомила, що її моделі ШІ втекли із заблокованого тестового середовища та зламали Hugging Face, і за день після зізнання, що її власні моделі ШІ вирвалися з-під контролю, Anthropic у четвер розкрила, що кілька версій її моделі ШІ Claude також скомпрометували три неназвані реальні компанії після неправильної конфігурації, яка надала ШІ доступ до відкритого інтернету.

Anthropic виявила ці інциденти після перегляду понад 141 000 запусків оцінки кібербезпеки, розпочатих у відповідь на розкриття OpenAI.

Фірма доручала Claude «завдання захоплення прапора» (capture-the-flag challenge) у всіх трьох інцидентах, написала Anthropic. Завдання полягає в тому, щоб модель зламала іншу машину в мережі та отримала секретну інформацію. «Завдання залишається відкритим, і конкретного методу не передбачено», — пояснили в Anthropic.

Фірма заявила, що Claude було повідомлено, що він працює в симульованому середовищі без доступу до інтернету. Однак тестове середовище залишалося підключеним до публічного інтернету. Вважаючи, що системи, з якими він зіткнувся, були частиною вправи, модель використовувала поширені методи атаки — включаючи слабкі паролі, викриті облікові дані, SQL-ін’єкції та неаутентифіковані кінцеві точки — для компрометації компаній.

ШІ хоче вирватися на волю

Це останнє розкриття відбувається в той час, коли передові моделі демонструють все більшу здатність перехитрити свої протоколи стримування.

Раніше цього місяця OpenAI заявила, що GPT-5.6 Sol і більш досконала, ще не випущена модель використали раніше невідому вразливість програмного забезпечення, щоб вийти із "пісочниці" (sandboxed environment), отримати доступ до інтернету та зламати виробничу інфраструктуру Hugging Face, щоб отримати відповіді на тест з кібербезпеки. Пізніше OpenAI розкрила, що той самий інцидент також передбачав несанкціонований доступ до чотирьох додаткових компаній, хоча публічно була ідентифікована лише одна — Modal Labs.

За даними Anthropic, в одному інциденті за участю Claude Opus 4.7, ШІ прийняв вебсайт реальної компанії за вигадану ціль свого завдання, витягнув облікові дані та отримав доступ до виробничої бази даних, що містила кілька сотень рядків реальних даних. У другому випадку Claude Mythos 5 завантажив шкідливий пакет Python до реального репозиторію PyPI, де він був завантажений на 15 систем, перш ніж його видалили. Третя внутрішня дослідницька модель просканувала приблизно 9000 систем, доступних через інтернет, перш ніж скомпрометувати одну організацію, а потім зупинилася, дійшовши висновку, що ціль, ймовірно, була реальною.

Дві з постраждалих організацій не знали про вторгнення, поки Anthropic не повідомила їх.

«У кожному з цих випадків Claude було чітко сказано нашим промптом, що він не мав доступу до інтернету», — написала Anthropic, при цьому ШІ припускав, що реальні системи були «частиною вправи». Оскільки сценарій «захоплення прапора» «за задумом є інструкцією для атаки зовнішньої системи», злом був «відповідним до завдання, яке було дано Claude».

Anthropic заявила, що не знайшла доказів того, що Claude намагався вирватися зі свого тестового середовища або зробити щось, що виходить за рамки поставленого завдання, і що інциденти були спричинені збоями в тестовому середовищі, а не проблемами з самою моделлю.

Anthropic заявила, що припинила свої тести кібербезпеки після виявлення проблеми, повідомила постраждалі організації та планує покращити моніторинг, інструменти розслідування та нагляд за зовнішніми постачальниками, які допомагають проводити її тести ШІ.

«Зрештою, багато факторів сприяли цим інцидентам, але, відповідно до культури безвинного посмертного аналізу, ми підходимо до виправлень, ніби відповідальність лежала виключно на нас», — сказали вони.