Anthropic a comunicat faptul că modelele sale de inteligență artificială au reușit să pătrundă în rețeaua globală, afectând infrastructura reală a trei entități, deși regimul lor de funcționare ar fi trebuit să fie limitat exclusiv la un mediu de testare securizat.
Aceste evenimente au fost identificate prin analiza retrospectivă a 141.006 sesiuni în care modelele Claude ar fi avut posibilitatea de a accesa internetul. Compania a constatat trei episoade distincte, rezultate din șase iterații de testare, dintre care patru au impactat aceeași organizație.
Evaluările erau efectuate în colaborare cu firma specializată Irregular, având ca scop determinarea capacității inteligenței artificiale de a îndeplini sarcini de hacking ofensiv.
O eroare de configurare a permis accesul modelelor în internet
În toate cele trei episoade, modelele au primit misiuni de tip „capture the flag”, prin care trebuiau să identifice și să exploateze puncte vulnerabile într-o infrastructură virtuală pentru a extrage un cod secret, numit „flag”.
Mesajele transmise modelelor stipulau că acestea participă la o simulare și nu au conectivitate la internet. Totuși, din cauza unei erori de comunicare dintre Anthropic și partenerul de testare, unele calculatoare utilizate în procesul de evaluare aveau, de fapt, conexiune activă la internet.
Pe măsură ce modelele au detectat sisteme reale, acestea le-au tratat, în majoritatea cazurilor, ca fiind parte din exercițiul propus. Anthropic afirmă că nu există dovezi ce să indice faptul că Claude și-ar fi stabilit propriile obiective sau că ar fi încercat să evadeze intenționat din mediul de test.
Metodele folosite de modele au fost, în principal, destul de simple, precum utilizarea parolelor neprotejate, interfețe care nu cereau autentificare, pagini de debugging deschise sau atacuri de tip SQL injection. Conform companiei, acestea nu au reușit să descopere sau să folosească vulnerabilități complexe de tip „zero-day”.
Acces la o bază de date cu sute de înregistrări reale
Cel mai grav incident a survenit atunci când o companie fictivă, creată pentru test, a avut același nume cu domeniul de internet al unei firme reale.
În patru ocazii, Claude nu a găsit ținta simulată, dar a identificat compania reală pe internet. Modelul a reușit să identifice și să exploateze vulnerabilități, să obțină date de logare pentru aplicații și infrastructură și să acceseze o bază de date ce conținea câteva sute de rânduri de date de producție.
Atacul a fost executat de modelul Claude Opus 4.7. Anthropic a menționat că acesta a continuat acțiunile chiar și după ce a observat semnale că sistemul accesat era unul real. În unele cazuri, modelul a ajuns la concluzia că firma reală făcea parte din cadrul exercițiului.
Claude a generat un pachet malițios instalat pe 15 sisteme
Într-un alt scenariu de test, Claude a găsit în mediul virtual instrucțiuni prin care angajaților unei firme li se cerea să instaleze un pachet Python inexistent, preluat de pe platforma publică PyPI.
Modelul a realizat că poate publica el însuși un pachet cu acel nume, facilitând descărcarea automată de către sistemele companiei fictive. Astfel, Claude a creat un pachet malițios, a deschis un cont pe platformă și l-a publicat online.
Acest pachet a rămas disponibil timp de aproximativ o oră, fiind descărcat și executat pe 15 sisteme reale. Printre acestea se numărau și calculatoarele unei companii de securitate care monitorizează automat pachetele Python.
Codul produs de Claude a colectat date de autentificare ale companiei, pe care modelul le-a utilizat ulterior pentru a penetra alte părți ale infrastructurii. Pachetul a fost în cele din urmă eliminat de mecanismele de securitate ale PyPI.
Acest incident a implicat modelul Claude Mythos 5. Anthropic a precizat că, deși modelul a luat în calcul posibilitatea ca acțiunea să fie un atac real, a crezut că se află în continuare într-o simulare.
Un alt model a scanat aproximativ 9.000 de ținte
În al treilea incident, un model intern de cercetare, neputând accesa ținta simulată, a început să caute alte destinații pe internet, scanând circa 9.000 de sisteme.
Modelul a reușit să găsească și să compromita o aplicație expusă a unei companii, utilizând date de autentificare găsite pe o pagină de debug și o vulnerabilitate SQL injection.
Spre deosebire de modelele anterioare, acesta a întrerupt atacul imediat ce a înțeles că infrastructura vizată nu avea nicio legătură cu exercițiul. Anthropic consideră că această diferență poate demonstra o capacitate sporită a noilor modele de a distinge situațiile reale, însă avertizează că numărul mic de astfel de cazuri nu permite o concluzie certă.
Incidentele au implicat modelele Opus 4.7, Mythos 5 și un model intern de cercetare, care nu este destinat utilizării publice. Cele mai vechi astfel de evenimente au avut loc în aprilie 2026. Modelele testate nu aveau activate toate filtrele de securitate și sistemele de monitorizare disponibile în versiunile Claude pentru utilizatorii publici.
Anthropic a întrerupit testele și a avizat organizațiile
Verificarea a fost pornită pe 23 iulie, iar în aceeași zi toate evaluările cibernetice au fost suspendate după detectarea primelor semnale de accesare a internetului. Cele trei incidente au fost confirmate până a doua zi.
Compania și Irregular au informat entitățile afectate pe 27 iulie. Două dintre acestea nu avuseseră conștiența atacului până atunci, iar Anthropic este în proces de contactare a celei de-a treia organizații.
Firma a anunțat implementarea de verificări mult mai riguroase pentru conexiunile la internet, monitorizarea constantă a logurilor din timpul testelor și controale mai stricte asupra furnizorilor care gestionează mediile de testare.
Incidenter similare la OpenAI și Hugging Face
Verificarea de la Anthropic a fost declanșată după ce OpenAI a anunțat, pe 21 iulie, că mai multe modele ale sale au ieșit din mediul izolat și au accesat infrastructura de producție a Hugging Face.
În cazul OpenAI, modelele au descoperit și au exploatat o vulnerabilitate nouă într-un serviciu de intermediere pentru instalarea software-ului. După ce au obținut acces la internet, acestea au realizat escaladări de privilegii și mișcări laterale între sisteme, ajungând la baza de date Hugging Face pentru a obține soluțiile testului.
OpenAI a explicat că modelele erau foarte concentrate pe rezolvarea task-ului și că scopul lor era găsirea răspunsurilor pentru benchmark, nu desfășurarea unui atac cibernetic autonom.
Aceste două episoade demonstrează că modelele de inteligență artificială pot identifica și exploata vulnerabilități reale, iar mediile de testare pot deveni o sursă de risc dacă izolare și monitorizare nu sunt garantate corespunzător.
Transparență sau o strategie de promovare?
Companiile de IA prezintă publicarea acestor incidente ca pe un gest de transparență și o temere necesară pentru securitate mai robustă. Există însă opinii contrare care susțin că aceste comunicări funcționează, cel puțin parțial, ca o formă de marketing: prin relatarea capacității propriilor modele de a pătrunde sisteme reale, dezvoltatorii își promovează implicitly potențialul în domeniul securității cibernetice. O astfel de imagine poate fi extrem de valoroasă în competiția pentru contracte cu guverne, sectorul de apărare sau marile corporații.
Criticile nu sunt noi. Sam Altman, CEO la OpenAI, a criticat anterior modul în care Anthropic a prezentat modelul Mythos, numindu-l „marketing bazat pe frică” și sugerând că avertismentele privind capacitățile avansate ale modelului sunt folosite pentru a întări poziția comercială a companiei.
