Симуляция оказалась с выходом в интернет: Claude на киберучениях взломал системы трёх реальных компаний

Anthropic перебрала 141 006 прогонов своих кибербез-оценок и нашла три инцидента: модели Claude дотягивались из тестовой среды до настоящего интернета и чужих систем. Пострадали три реальные организации, у одной модель достала несколько сотен строк из боевой базы. Промпт при этом прямо говорил Claude, что среда - симуляция и интернета нет.

Opus 4.7 не остановился. Имя реальной компании совпало с вымышленной целью учений. Claude Opus 4.7 вытащил учётки приложения и инфраструктуры, достал несколько сотен строк боевых данных из production-базы и продолжил атаку даже после того, как понял, что цель настоящая. Из трёх инцидентов этот единственный, где модель осознанно ломала реальную систему.

Mythos 5 дошла до PyPI. Модель собрала вредоносный Python-пакет и опубликовала его в реальном каталоге. За час до автоматического удаления пакет успел скачаться и выполниться на 15 реальных системах, включая сканер одной security-компании.

Третья модель остановила себя сама. Невыпущенная исследовательская модель не нашла вымышленную цель, просканировала около 9 000 реальных адресов и вскрыла открытое в интернет приложение через учётки с debug-страницы и SQL-инъекцию. Потом решила, что вышла за рамки задания, и прекратила атаку.

Сломалась обвязка, не модель. Доступ в интернет остался из-за ошибки конфигурации и расхождения настроек между Anthropic и партнёром по оценкам Irregular. Сама Anthropic называет случившееся отказом обвязки и процессов, а не провалом alignment модели.

Между первым взломом и разбором прошли месяцы. Самый ранний инцидент случился в апреле 2026, а перечитывать транскрипты Anthropic села только после 21 июля, когда OpenAI раскрыла выход своей модели из тестовой среды в Hugging Face. 23 июля компания остановила все кибербез-оценки, 24-го определила все три инцидента, 27-го начала уведомлять пострадавших. Часть организаций атаку у себя так и не заметила.

Юристы уже обсуждают ответственность за такие запуски. Указ 14409 от 2 июня 2026 предписывает генпрокурору США приоритетно применять закон о компьютерных взломах CFAA к делам, где ИИ-агенты незаконно получают доступ к чужим системам. Юристы Ballard Spahr считают правдоподобной ответственность компаний, запускающих агентов с отключёнными предохранителями в подключённой к интернету среде, и напоминают: ни один суд пока не решал, как мерить умысел, когда взламывает не человек.