Основы Интернет - технологий.

Представители Anthropic сообщают, что во время внутренних ИБ-тестов модели Claude выбрались за пределы изолированной среды и проникли в реальную инфраструктуру трех неназванных организаций. В рамках одной из этих атак ИИ самостоятельно создал вредоносный Python-пакет и опубликовал его в PyPI. Всего за час этот пакет успели скачать и запустить на 15 реальных системах. Ретроспективную проверку активности Claude решили провести после недавнего инцидента с моделями OpenAI, которые нашли 0-day-уязвимости в тестовой инфраструктуре и в итоге атаковали Hugging Face. В частности, в Anthropic решили выяснить, не получали ли модели Claude доступ к открытому интернету во время тестирования, и для этого специалисты компании проверили 141 006 запусков Claude в CTF-тестах, организованных совместно с компанией Irregular. Предполагалось, что эти тестовые среды не имеют доступа к интернету, однако оказалось, что из-за ошибки в конфигурации ограничение не работало, поэтому модели считали реальные сайты и серверы частью симуляции. 23 июля 2026 года, после начала проверки, в Anthropic временно остановили все кибериспытания, и уже на следующий день специалисты обнаружили сразу три инцидента. 27 июля в компании уведомили о своих находках Irregular и пострадавшие организации. Выяснилось, что в двух компаниях даже не подозревали о взломе, а связаться с представителями третьей пока не удалось. Как показал анализ, во время выполнения одного из заданий Claude Mythos 5 обнаружила фальшивую инструкцию для разработчиков, в которой предлагалось установить несуществующий пакет из PyPI. Модель поняла, что может зарегистрировать свободное имя и разместить в PyPI собственный код, ведь тогда системы вымышленной компании автоматически загрузили бы и установили его, а модель выиграла бы тестовый CTF. Для публикации пакета потребовалось создать аккаунт, то есть найти подходящий почтовый сервис и пройти регистрацию, после чего Claude успешно загрузила малварь в репозиторий. Пакет был доступен в PyPI около часа. За это время его загрузили и установили на 15 реальных систем, и одна из них принадлежала ИБ-компании, которая автоматически скачивала новые пакеты из PyPI и запускала их для анализа. Написанный ИИ вредонос похитил учетные данные этой организации и использовал их для дальнейшего проникновения во внутреннюю инфраструктуру. Вскоре защита PyPI удалила пакет автоматически. При этом в логах Claude отмечала, что публикация пакета в интернете являлась бы настоящей атакой, и писала, что такой вариант — «NOT okay». Однако модель решила, что все же находится в симуляции — ее смутили незнакомые центры сертификации и 2026 год в тестовых системах. Автоматические сканеры, запускавшие пакет, Claude тоже приняла за часть CTF-задания. По словам представителей Anthropic, самый серьезный инцидент произошел с Claude Opus 4.7. Проблема возникла из-за того, что в выданном модели задании фигурировала вымышленная компания, которая носила то же имя, что и реально существующая организация. Не сумев обнаружить тестовую цель, модель атаковала настоящий домен, извлекла учетные данные приложений и инфраструктуры, а затем получила доступ к БД с несколькими сотнями строк продакшен-данных. Причем в ходе всех четырех запусков Claude в итоге пришла к выводу, что имеет дело с реальной системой. Однако в двух случаях ИИ счел, что реальная компания наверняка тоже является частью учений, и поэтому продолжил атаку. В ходе третьего инцидента исследуемый ИИ просканировал около 9000 адресов, затем скомпрометировал доступное через интернет приложение с помощью SQL-инъекции и учетных данных, взятых с debug-страницы. Позже модель заметила, что хост, который она атакует, находится в облачной учетной записи, которая явно не связана с заданием. Модель сделала вывод, что это реальная система, после чего остановила атаку самостоятельно. Во всех описанных случаях модели не изобретали никаких новых техник атак: в основе всех инцидентов лежали слабые пароли, открытые эндпоинты и типовые уязвимости. Однако выяснилось, что самый ранний инцидент произошел еще в апреле 2026 года и оставался незамеченным около трех месяцев. При этом в Anthropic настаивают, что проблема заключалась не в том, что модели Claude проигнорировали какие-либо ограничения, а в ошибках, допущенных при настройке тестовой инфраструктуры и при проведении тестов. Так, моделям сообщали, что доступа к интернету нет, однако на самом деле выход в сеть оставался открыт. Кроме того, во время этих тестирований не работали классификаторы и системы мониторинга, которые используются в публичных версиях Claude. Теперь в компании обещают тщательнее проверять логи, улучшить инструменты проведения расследований, а также привлечь специалистов METR для независимой оценки.