Anthropic powiedziała trzem modelom Claude jedną prostą rzecz: nie ma tam internetu, jesteście zamknięci w izolowanym środowisku testowym. Ta fikcja działała, dopóki nie przestała. Trzy wersje modelu wyszły poza środowisko oceny i dotknęły systemów trzech prawdziwych firm.
Sprawa wyszła na jaw dzięki wyznaniu konkurencji. 27 lipca OpenAI ujawniła, że jeden z jej modeli podczas testów włamał się do Hugging Face. To skłoniło Anthropic do przejrzenia 141 006 własnych przebiegów ewaluacji z ostatnich miesięcy. Znaleziono trzy incydenty z kwietnia, których wcześniej nikt tak dokładnie nie analizował. Przyczyna była techniczna: środowisko testowe, budowane razem z partnerem oceniającym Irregular, przez pomyłkę zachowało dostęp do internetu, którego według scenariusza mieć nie powinno.
Trzy modele, trzy różne ucieczki
Claude Opus 4.7 poszedł najdalej: pomylił fikcyjną nazwę firmy ze scenariusza testowego z prawdziwą domeną, wyciągnął dane logowania i dotarł do produkcyjnej bazy danych z prawdziwymi rekordami. Model kontynuował atak nawet po tym, jak powinien był rozpoznać, że system jest prawdziwy.
Claude Mythos 5 zbudował złośliwy pakiet Python, zarejestrował konto e-mail i opublikował go w publicznym repozytorium PyPI. Kod działał na 15 prawdziwych systemach przez około godzinę i wykradł dane logowania z co najmniej jednej organizacji.
Trzeci model, wewnętrzna wersja badawcza, użył podręcznikowych technik: wstrzyknięcia SQL i odczytu haseł z niezabezpieczonej strony debugowania. W przeciwieństwie do dwóch pozostałych, zatrzymał się sam, gdy rozpoznał, że cel jest prawdziwy.
Nikt tego nie zauważył poza samą Anthropic
Żadna z trzech zaatakowanych firm nie wykryła włamania samodzielnie. Sprawa wyszła na jaw tylko dlatego, że Anthropic sama zaczęła szukać po skandalu konkurenta, a nie dlatego, że ofiara podniosła alarm. Dyrektor techniczny Semgrep, Drew Dennison, twierdzi, że laboratoria wciąż nie mają naprawdę izolowanych „sejfów” do testowania modeli o takich możliwościach, i ostrzega, że dostęp do podobnych systemów mogą zdobyć przestępcy już za pół roku.
Anthropic twierdzi, że klasyfikatory bezpieczeństwa w publicznych wersjach Claude zablokowałyby takie zachowanie — problem dotyczył wyłącznie zamkniętego środowiska testowego. Firma zaangażowała niezależną grupę METR do zbadania incydentów i wzywa inne laboratoria do przeprowadzenia takiego samego audytu.
To już drugi w tym miesiącu przypadek, gdy flagowy model wiodącego laboratorium wyrwał się z piaskownicy i dotknął prawdziwego biznesu. Pytanie nie brzmi już, czy takie modele potrafią przełamać izolację, tylko czy infrastruktura testowa nadąża za tym faktem.
