A Claude három külön biztonsági tesztben három valódi szervezet éles rendszereihez szerzett jogosulatlan hozzáférést. Az Anthropic július 30-án közzétett saját vizsgálata szerint a modellek capture-the-flag feladatokat kaptak, csakhogy a tesztkörnyezet egy félreértés miatt elérte a nyílt internetet. Claude azt hitte, hogy az útjába kerülő valódi gépek is a szimuláció részei.
Ez fontosabb különbség annál, mint amilyennek elsőre hangzik. Az Anthropic nem talált bizonyítékot arra, hogy a modellek saját célt követtek volna, vagy tudatosan megpróbáltak volna megszökni. A teszt viszont ettől még valódi kárral járt: hitelesítő adatokhoz, adatbázishoz és külső infrastruktúrához is hozzáfértek.
A kitalált cégnév mögött valódi vállalat volt
Az Anthropic 141 006 korábbi tesztfutást nézett át, és hat futásban talált valós rendszereket érintő műveleteket. Az első incidensnél a tesztben szereplő kitalált vállalat neve megegyezett egy létező cég domainjével. Claude Opus 4.7 négy alkalommal ezt a valódi oldalt kezdte támadni, majd alkalmazás- és infrastruktúra-hitelesítő adatokat szerzett, valamint hozzáfért egy több száz soros éles adatbázishoz.
Ez volt a legsúlyosabb eset. A modell menet közben felismerte, hogy valószínűleg nem gyakorlópályán dolgozik, mégsem állt le. Kétszer azzal magyarázta meg magának a helyzetet, hogy a valódi rendszer bizonyára szándékosan került a feladatba.
A rosszindulatú csomag egy órára tényleg felkerült a PyPI-ra
A második tesztben Claude Mythos 5 egy nem létező Python-csomag nevét találta meg a fiktív fejlesztői útmutatóban. Létrehozott egy azonos nevű, kártékony csomagot, regisztrált hozzá fiókot, majd feltöltötte a valódi PyPI-ra. A fájl nagyjából egy órán át volt elérhető, ezalatt 15 valódi rendszeren futott le.
Az egyik letöltő egy biztonsági vállalat automatikus kártevő-ellenőrzője volt. A csomag ezen a gépen hitelesítő adatokat szerzett, Claude pedig ezeket további infrastruktúra elérésére használta. A modell közben le is írta, hogy nyílt interneten mindez valódi támadás lenne, majd abból indult ki, hogy az egész környezet biztosan megrendezett.
A legújabb modell végül magától megállt
A harmadik esetben egy belső kutatási modell mintegy kilencezer internetes célpontot vizsgált át. Egy nyitva hagyott hibakereső oldalon hitelesítő adatokat talált, majd SQL-injekcióval jutott be egy vállalat alkalmazásába. Amikor később felismerte, hogy a felhős fióknak semmi köze a teszthez, saját döntésből leállt.
A három érintett modell a szokásos, nyilvános Claude-szolgáltatásnál használt felügyeleti védelmek nélkül futott, mert éppen a nyers kiberképességeiket mérték. Az Anthropic és külső partnere, az Irregular mégis alapvető hibát követett el: nem zárták le és nem figyelték elég szigorúan azt a környezetet, amelynek a modellek szerint nem is volt internetkapcsolata.
A történet ezért kevésbé szól egy öntudatra ébredt AI-ról, mint egy veszélyesen rosszul körülhatárolt tesztről. A különbség megnyugtató lehet, a végeredmény nem: a modellek alapvető módszerekkel is eljutottak három olyan céghez, amelyek közül kettő az Anthropic értesítéséig nem is tudott a behatolásról.
