AI-ügynökök segítségével jutott be egy kiberbiztonsági startup az Anthropic belső rendszereibe. A Cathedral nevű céget a The Decoder szerint a DOGE (az amerikai kormányzati hatékonysági hivatal) volt munkatársai alapították. Az akció az Anthropic saját hibavadász programjában (bug bounty) történt, és az ügynökök az Anthropic által használt külső üzleti szoftvereken keresztül jutottak be. Az ügyet a Washington Post október 26-i cikke hozta nyilvánosságra a Cathedral jelentéstervezete alapján. A részleteket a The Decoder összefoglalójából és az Anthropic kutatójának, Logan Grahamnek az X-bejegyzéséből vettük.
Mihez fértek hozzá az AI-ügynökök?
A Cathedral a The Decoder szerint azt állítja, hogy ügynökei 12 óránál rövidebb idő alatt Slack-üzeneteket, fizetési adatokat, megbeszélések leiratait és álláshirdetéseket találtak. Az Anthropic ennél szűkebb kört erősített meg: a kutatók korlátozott számú értékesítési, HR- és IT-rendszerhez fértek hozzá, köztük egyes ügyfelek és partnerek elérhetőségeihez, valamint alapvető felhasználói fiókadatokhoz. A cég szerint Claude-beszélgetések, forráskód és modellsúlyok nem kerültek ki.
Az Anthropic közlése szerint a felfedezés napján lezárta az érintett hozzáférési pontokat, a külső programokat a javításig kikapcsolta, és értesítette az amerikai szövetségi hatóságokat.
Miben nem értenek egyet a felek?
- Időtartam: a Cathedral 12 óránál rövidebb időt állít, Graham szerint viszont „több napnyi próbálkozást láttunk”, és a Cathedral csak ezután használt ki két külső sebezhetőséget.
- Sebezhetőségek: a két hibából Graham szerint egyet jelentett a Cathedral, a másikat az Anthropic maga találta meg, és ott vágta el a hozzáférést.
- Szabályok: Graham szerint „ez nem egy szokásos hibavadász-találat volt”, mert külső cégek kihasználásával és adatok elérésével járt, ami kívül esik az Anthropic jogi védelmet nyújtó (safe harbor) szabályain. A Cathedral a The Decoder szerint azt mondja, a szokásos kutatói gyakorlatot követte.
- Terjedelem: Will Depue az X-en azt írta, a forrásai szerint a Cathedral teljes Slack-adminisztrátori jogot szerzett, és bármelyik felhasználó fiókjába be tudott lépni. Graham erre azt válaszolta, hogy Depue forrásai tévednek, részleteket nem közölt.
Miért fontos ez az eset?
A technikai lényeg az, hogy a támadás nem az Anthropic legjobban védett rendszerei ellen ment, hanem a cég által használt külső szolgáltatásokon keresztül, vagyis az ellátási láncon át. Graham ebben látja a jövőt: „A támadók bármilyen modellt és eszközt használni fognak, amihez hozzáférnek. Ügynökökkel, a nap 24 órájában mindent célba vesznek. A függőségeidet fogják támadni.” Szerinte ehhez már a legfejlettebbnél fél–egy generációval régebbi modellek is elegendők, és hozzátette: „ezek a legbutább modellek, amelyeket az ellenfeleid valaha használni fognak.”
Javaslata szerint a cégeknek folyamatosan saját magukat kellene támadniuk (red teaming), a szoftvereket pedig úgy kellene újratervezni, hogy kisebb legyen a támadási felület. Hasonló, ügynökalapú támadásokról mi is írtunk: egy „Skynet mód” nevű ügynök mások nyitva hagyott AI-modelljeit térítette el, egy másik kutatás szerint pedig egyetlen AGENTS.md fájllal is eltéríthetők az AI-programozóügynökök. Az Anthropic egyébként néhány napja nyújtotta be tőzsdei papírjait.
