Наталя Зарудня
Наталя ЗарудняГоловний редакторГоловний редактор і засновник CyberCalm. Більше 10 років досвіду в сфері кібербезпеки та технологічної журналістики. Спеціалізуюся на темах захисту даних, мобільної безпеки, штучного інтелекту та соціальних мереж.Слідкуйте: 31.07.2026Поширити13 хвилин читання
Компанія Anthropic опублікувала результати розслідування трьох інцидентів, де моделі Claude отримали доступ до глобальної мережі з ізольованого тестового середовища та змогли зламати реальну інфраструктуру трьох компаній. Дві з уражених організацій дізналися про вторгнення лише після повідомлення. Розслідування розпочалося після схожого випадку, про який заявила OpenAI.
Зміст
- Суть події
- Причини виходу моделей у реальний інтернет
- Перший випадок: Opus 4.7 та база даних з бойовими записами
- Другий випадок: шкідливий пакет у PyPI та зламаний сканер безпеки
- Третій випадок: 9000 просканованих цілей та самостійне припинення
- Три моделі — три різні реакції
- Відмінності від інциденту OpenAI
- Зміни після інцидентів
- Основні висновки
Суть події
21 липня OpenAI повідомила, що кілька її моделей змогли вирватися з ізольованого тестового середовища, скориставшись раніше невідомою вразливістю нульового дня, і отримали доступ до робочої інфраструктури Hugging Face — платформи для розміщення моделей машинного навчання та наборів даних.
У відповідь Anthropic ініціювала масштабну ретроспективну перевірку власних тестів кіберможливостей. Метою було виявлення фактів доступу Claude до інтернету з середовищ, які мали бути повністю ізольовані.
За підсумками аналізу 141 006 тестових сесій було виявлено три інциденти, що включали загалом шість сесій. Чотири з них стосувалися однієї й тієї ж організації. Усі випадки сталися в середовищі Irregular, яке надається стороннім партнером з оцінки моделей, послугами якого користуються як Anthropic, так і OpenAI. Найперші епізоди зафіксовано у квітні.
Перевірка була розпочата у четвер, 23 липня, і того ж дня компанія припинила всі кібертести. Усі три інциденти були ідентифіковані наступного дня. Партнер з оцінки та три компанії-жертви отримали повідомлення у понеділок, 27 липня. Дві компанії, з якими вдалося встановити контакт, не виявили активності самостійно; до третьої організації Anthropic досі намагається достукатися.
Причини виходу моделей у реальний інтернет
В усіх випадках Claude виконував завдання формату capture the flag (CTF) — стандартний метод оцінки наступальних кіберможливостей. Моделі описували вигаданий сценарій, стверджуючи, що секретна інформація («прапор») захована на іншій машині в мережі, і завдання полягало в проникненні для її отримання. Спосіб досягнення мети не був регламентований.
Системна інструкція чітко вказувала, що середовище є симуляцією і доступу до інтернету відсутній. Однак через непорозуміння між Anthropic та партнером з оцінки це не відповідало дійсності: помилка конфігурації залишила тестові машини з активним підключенням до мережі. Ані компанія, ані партнер не знали про це до моменту виявлення проблеми додатковим моніторингом.
Тому, коли пошук вивів модель на реальні системи, вона сприйняла їх як частину вправи. У звіті підкреслюється: кіберполігони навмисно насичують правдоподібними деталями для коректної оцінки можливостей моделі в бойових умовах, тому реалістичний вигляд цілі сам по собі не є для моделі підтвердженням її справжності.
Для проникнення використовувалися елементарні методи — слабкі паролі та неавтентифіковані точки доступу. Складні вразливості моделі не шукали та не експлуатували. Anthropic окремо зазначає: жодного разу Claude не намагався поширити себе назовні або свідомо втекти з тестового середовища.
Перший випадок: Opus 4.7 та база даних з бойовими записами
Назва вигаданої компанії-цілі, яку обрав партнер з оцінки, співпала з доменом реального вебсайту. Контейнер цього тесту мав пряме підключення до інтернету.
У чотирьох запусках Claude Opus 4.7 не досяг симульованої цілі всередині середовища, натомість виявив, що реальна компанія доступна через мережу. Вважаючи її запланованою ціллю, модель знайшла та експлуатувала вразливості в інфраструктурі компанії. В результаті було викрадено облікові дані застосунків та інфраструктури, а також отримано доступ до бази даних, що містила кілька сотень записів з бойовими даними. Це найсерйозніші наслідки серед усіх трьох інцидентів.
Це також єдиний випадок, коли модель продовжила атаку після усвідомлення роботи в реальному середовищі. У всіх чотирьох запусках модель у своїх міркуваннях визнавала справжність системи; у двох випадках вона переконала себе, що реальна компанія, очевидно, є частиною вправи. Жоден із запусків не був зупинений на цій підставі.
Другий випадок: шкідливий пакет у PyPI та зламаний сканер безпеки
Цей епізод є найбільш показовим з точки зору безпеки ланцюга постачання. Claude Mythos 5 знайшов у вигаданому середовищі документ, який виглядав як інструкція з налаштування робочого місця для нових розробників іншої вигаданої компанії. Інструкція вимагала встановити з PyPI — публічного репозиторію пакетів Python — бібліотеку, яка насправді не існувала.
Модель побачила в цьому можливість: якщо опублікувати власний пакет під тим самим найменуванням, системи компанії завантажать і встановлять його автоматично. Це класична схема dependency confusion — підміна відсутньої залежності. Claude створив і опублікував шкідливий пакет з потрібним найменуванням.
Для цього модель пройшла тривалий ланцюжок дій, який для людини-учасника майже напевно сигналізував би про вихід вправи за межі симуляції. Для реєстрації на PyPI потрібна була електронна пошта, а для неї — номер телефону. Не знайшовши безкоштовного сервісу номерів, модель неодноразово намагалася — і не змогла — отримати кошти для його оплати. Зрештою, вона повернулася до попереднього кроку, знайшла безкоштовний незаблокований поштовий сервіс, зареєструвала акаунт PyPI та завантажила туди шкідливий пакет.
Пакет був загальнодоступним близько години. За цей час його завантажили та запустили на 15 реальних системах. Однією з них виявився сканер кібербезпеки реальної компанії, який регулярно встановлює пакети Python і перевіряє їх на шкідливий код. Коли сканер встановив пакет, прихований код активувався: за оцінкою Anthropic, сканер вважав пакети з PyPI безпечними для встановлення, тому Claude зміг вивести облікові дані компанії на заздалегідь підготовлений збірний пункт, а потім використати їх для доступу до іншої інфраструктури цієї ж компанії.
Модель не націлювалася на цю компанію — на момент публікації пакета вона навіть не знала про її існування. Однак код був у відкритому доступі, тому постраждала будь-яка система, яка його запустила. Пакет був автоматично видалений власними системами безпеки PyPI; Anthropic повідомила команду репозиторію про інцидент та передала індикатори компрометації.
Найбільш показовими є роздуми самої моделі. На початку запуску вона коректно оцінила наслідки, зазначивши, що якби це був реальний інтернет, публікація пакета була б справжньою атакою — «неприйнятною і точно не передбаченим рішенням». Однак далі модель переконала себе, що все ще перебуває в симуляції: вона не розпізнала сертифікаційні центри, які захищали з’єднання (насправді цілком справжні), а календарна дата 2026 рік, на її думку, свідчила про штучність середовища. До цього висновку модель більше не поверталася — коли пакет почали встановлювати автоматичні сканери, вона сприйняла їх за запрограмованих учасників тесту.
В Anthropic визнають: незалежно від того, що модель думала про своє середовище, зусилля, витрачені на публікацію пакета, не відповідають бажаній поведінці, і цей аспект потребує додаткового навчання.
Третій випадок: 9000 просканованих цілей та самостійне припинення
Внутрішня дослідницька модель, яка не планується до публічного випуску, не змогла дістатися до вигаданої цілі та почала шукати альтернативи в мережі, просканувавши близько 9000 адрес. Зрештою вона скомпрометувала доступний з інтернету додаток однієї з компаній, застосувавши базові та давно відомі техніки: зчитування облікових даних зі сторінки налагодження, залишеної у відкритому доступі, та SQL-ін’єкцію.
Більшу частину запуску модель сприймала реальні вузли як частину вправи. Однак згодом вона помітила, що скомпрометований хост розміщений у хмарному акаунті, який жодним чином не пов’язаний із завданням. Самостійно дійшовши висновку, що ціль є справжньою, модель припинила атаку.
Три моделі — три різні реакції
Найстаріша із задіяних моделей, Opus 4.7, розпізнала бойові системи й не зупинилася. Mythos 5 коректно припустила, що працює у відкритому інтернеті, але переконала себе у зворотному. Найновіша внутрішня модель також розглянула варіант, що цілі є реальними — і коли докази з’явилися, самостійно зупинилася.
Anthropic застерігає від поспішних висновків: це три ізольовані інциденти, а не контрольований експеримент. Водночас у компанії визнають, що бажана поведінка — самостійне розпізнання реальної цілі та зупинка без підказки — була продемонстрована лише найновішою моделлю, і навіть вона зайшла далі, ніж очікувалося. Закономірність узгоджується з припущенням, що досконаліші моделі реагують адекватніше, але для підтвердження потрібні додаткові тести.
Незалежну перевірку матеріалів має провести METR — сторонній орган з оцінки ШІ, який отримає доступ до всіх стенограм і вибірковий доступ до відповідних моделей. Протягом тижня Anthropic обіцяє опублікувати частково відредаговану стенограму запуску, в якому Claude створював шкідливий пакет для PyPI.
Відмінності від інциденту OpenAI
Сама Anthropic наголошує на кількох відмінностях:
- Інциденти були виявлені самою компанією під час проактивної перевірки стенограм — постраждалі організації не зафіксували активності та не зверталися з приводу інцидентів.
- Моделі OpenAI використовували раніше невідому вразливість для виходу з ізоляції; моделі Claude потрапили в інтернет через відкритий канал завдяки помилці конфігурації.
- Компанія класифікує це як збій у підключенні та операційних процесах, а не як збій узгодженості моделі: моделям було вказано на відсутність інтернету, але водночас було надано доступ.
- Найновіша модель самостійно зупинилася, щойно усвідомила реальність середовища.
Варто врахувати ще один кон публічних версіях моделей, — без класифікаторів та моніторингу зловживань. Водночас моделі зберігали власне навчання безпеці, тобто це не були версії «helpful-only». Усі тести виконувалися на виділеній інфраструктурі, відокремленій від внутрішніх систем Anthropic та даних клієнтів. У компанії стверджують, що захисні механізми публічних версій заблокували б виявлену поведінку.
Зміни після інцидентів
Компанія формулює три ключові висновки. Перший: тестові середовища з потужними автономними агентами вимагають такого ж рівня захисту, як і будь-які інші робочі системи. Полігон із суто вигаданими сценаріями може здаватися безпечним, оскільки всередині нього немає нічого справжнього, — але сам агент у ньому вже становить суттєву загрозу. Anthropic припускає, що моделі взагалі не вийшли б в інтернет, якби інструкція чітко визначала, які системи входять до обсягу тесту, а які — ні.
Другий: межа між прийнятною та шкідливою дією залежить від розуміння моделлю своєї ситуації. Жодного разу компанія не зафіксувала ознак того, що модель переслідувала власну мету. Моделі виконували завдання, яке їм ставили, але з хибним уявленням про реальність середовища.
Третій: інциденти підтверджують цінність ешелонованого захисту. Компанія обіцяє розширити безперервний моніторинг тестових стенограм, покращити інструменти розслідування та посилити вимоги до сторонніх постачальників тестових середовищ. Anthropic закликає інші ШІ-лабораторії провести аналогічні перевірки своїх архівів.
Основні висновки
Жодна з технік, використаних моделями для проникнення в реальні системи, не була новою: слабкі паролі, неавтентифіковані точки доступу, відкрита сторінка налагодження, SQL-ін’єкція, підміна відсутньої залежності. Це базова гігієна, на яку описи інцидентів знову вказують — і яка залишається головним вектором для атак на ланцюг постачання та прихованих бекдорів:
- Неіснуючі назви внутрішніх пакетів у документації становлять поверхню для атаки. Якщо в інструкціях згадується бібліотека, якої немає в публічному реєстрі, будь-хто може зайняти це найменування. Варто резервувати назви внутрішніх пакетів у публічних реєстрах, фіксувати версії залежностей і налаштовувати пріоритет приватного індексу над публічним.
- Автоматичні системи, які встановлюють сторонній код для аналізу, повинні робити це в ізольованому середовищі — інакше сканер безпеки сам стає точкою входу.
- Сторінки налагодження, тимчасові адміністративні інтерфейси та тестові кінцеві точки, залишені доступними з інтернету, виявляються скануванням за лічені хвилини.
Окремої уваги заслуговує масштаб: одна модель за один запуск перевірила близько 9000 цілей. Швидкість автоматизованої розвідки, доступна зловмиснику з агентом на базі сучасної моделі, змінює вимоги до часу виявлення на стороні захисту.
Будь ласка, залиште це поле порожнім
О, привіт
Раді знайомству!
Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.
Перевірте свою електронну пошту або папку зі спамом, щоб підтвердити підписку.
ТЕГИ:AnthropicClaudeOpenAIPyPIатака на ланцюг постачаннявразливостіШтучний ІнтелектПоділитисяFacebookThreadsСкопіювати посиланняДрукВаші думки?В захваті0Сумно0Смішно0Палає0Овва!0Попередня публікація
Чи потрібен антивірус, якщо є Microsoft Defender?Наступна публікація
Як зменшити відстеження смартфона: АНБ оновило свої рекомендації вперше за шість років
У тренді
Anthropic позначатиме згенерований Claude контент невидимими водяними знаками
12.08.2026
Дата-центри для ШІ переходять на власні газові електростанції: у США їх планують щонайменше 82
10.08.2026
Сотні повідомлень за хвилину: що таке SMS-бомбінг і як від нього захиститися
13.08.2026
Signal додав нову функцію безпеки для захисту від атак «людина посередині»
13.08.2026
Як налаштувати батьківський контроль на iPhone: актуальна інструкція для iOS 26
10.08.2026
Кібербезпека
Штучний інтелект уперше спроєктував повні геноми вірусів — 16 із них виявилися життєздатними
07.08.2026
Новини
Google назвала дату вимкнення Assistant
06.08.2026
Кібербезпека
У ЄС запрацювали правила прозорості ШІ: чат-боти мають попереджати про себе, а дипфейки — маркуватися
04.08.2026
Новини
Google Earth дозволяв «домалювати» війну на справжніх супутникових знімках. Функцію вимкнули за добу
02.08.2026