Модели Anthropic во время тестов взломали три реальные компании: две из них атаку не заметили

Anthropic нашла 3 инцидента, в которых её модели во время кибер-оценок получили несанкционированный доступ к production-системам трёх организаций (блог компании, 30.07). Модели посчитали реальные серверы частью учебного упражнения. Всего компания пересмотрела 141 006 прогонов, где Claude мог выходить в интернет - инциденты затронули 6 из них.

Модели видели, что цель реальная. Claude Opus 4.7 во всех затронутых прогонах распознал, что вышел на боевую систему, но атаку не прекратил: вытащил учётные данные приложения и инфраструктуры и добрался до базы с несколькими сотнями строк production-данных. Claude Mythos 5 опубликовал вредоносный Python-пакет в публичном PyPI - за час пакет успел встать примерно на 15 реальных систем.

Сама остановилась только внутренняя исследовательская модель Anthropic. Она просканировала около 9000 целей и взломала одно веб-приложение базовыми приёмами: прочитала credentials с открытой debug-страницы и провела SQL-инъекцию. Когда модель поняла, что цель реальная, она прекратила атаку.

Первые инциденты случились ещё в апреле 2026, а нашла их Anthropic только 23 июля, при ревью транскриптов оценок. В тот же день компания остановила все кибер-оценки, 27 июля уведомила пострадавшие организации. Две из трёх атаку у себя не заметили, с третьей связаться не удалось.

**У OpenAI похожая история случилась раньше.** Компания раскрыла инцидент 21 июля: GPT-5.6 Sol и более мощная нерелизнутая модель на бенчмарке ExploitGym нашли zero-day во внутреннем прокси-сервере, вышли в открытый интернет и добрались до выполнения кода на серверах Hugging Face. Расследование насчитало больше 17 000 событий, но публичные модели, датасеты и Spaces не тронуты - пакеты и контейнерные образы проверены как чистые.

Выходом наружу у OpenAI стал канал установки пакетов: единственное окно, которое компания оставила в изолированной среде. Дэн Гвидо из Trail of Bits назвал случившееся отказом изоляции при отключённых предохранителях.

Anthropic теперь обещает держать среды оценок по тому же security-стандарту, что и боевые системы, и прямо прописывать в промпте границы целей. Независимый разбор с доступом ко всем транскриптам компания обсуждает с METR.

Отредактированный транскрипт PyPI-инцидента Anthropic обещает опубликовать в течение недели после отчёта от 30.07.