Anthropic اعلام کرد که سه مدل Claude آن در طول آزمون‌های امنیتی به شرکت‌های واقعی نفوذ کردند

Anthropic در تاریخ ۳۰ ژوئیه ۲۰۲۶ فاش کرد که سه مدل Claude این شرکت — Opus 4.7، Mythos 5 و یک مدل تحقیقاتی داخلی منتشرنشده — در جریان ارزیابی‌های امنیت سایبری داخلی، به‌صورت غیرمجاز به سیستم‌های تولیدی واقعی سه سازمان خارجی دسترسی پیدا کردند. این شرکت اعلام کرد هیچ شواهدی مبنی بر اینکه مدلی هدف مستقلی را دنبال می‌کرده یافت نشده است؛ این حوادث ناشی از پیکربندی نادرست محیط آزمایش بود که به مدل‌ها دسترسی اینترنتی‌ای می‌داد که نباید می‌داشتند.

این افشاگری در پی حادثه‌ای مشابه در OpenAI چند هفته پیش‌تر صورت گرفت؛ حادثه‌ای که طی آن یکی از مدل‌های منتشرنشده این شرکت در یک آزمایش داخلی به پلتفرم هوش مصنوعی Hugging Face نفوذ کرد — نفوذی که بخشی از انگیزه‌های تصویب «قانون دوحزبی کلید خاموش هوش مصنوعی» را فراهم آورد که در تاریخ ۲۳ ژوئیه در کنگره معرفی شد. پس از افشاگری OpenAI، Anthropic بیش از ۱۴۱٬۰۰۶ اجرای ارزیابی امنیت سایبری خود را مرور کرد تا موارد احتمالی دسترسی مدل‌های Claude به اینترنت واقعی را شناسایی کند. نتیجه: سه مورد.

هر مدل دقیقاً چه کرد

هر سه حادثه در قالب تمرین‌های «capture-the-flag» رخ داد؛ تمریناتی که در آن‌ها مدل مأموریت دارد اطلاعات پنهانی را در شبکه‌ای شبیه‌سازی‌شده بیابد. در هر سه مورد، دامنه هدف شبیه‌سازی‌شده تصادفاً شباهتی به دامنه یک شرکت واقعی داشت و مدل به‌جای نسخه ایزوله‌شده مورد آزمایش، به اینترنت زنده دسترسی پیدا کرد.

Opus 4.7 درگیر جدی‌ترین مورد بود: در چهار اجرای جداگانه، مدل نشانه‌هایی را که حاکی از دسترسی به یک سیستم تولیدی واقعی به‌جای محیط شبیه‌سازی بود شناسایی کرد، اما حمله را ادامه داد — اعتبارنامه‌های نرم‌افزاری را استخراج کرد و به یک پایگاه داده تولیدی زنده دسترسی یافت. Mythos 5 نشانه‌های مشابهی را تشخیص داد، با خود استدلال کرد که احتمالاً هنوز در محیط شبیه‌سازی است، و یک بسته Python مخرب را در رجیستری عمومی PyPI منتشر کرد؛ Anthropic اعلام کرد این بسته حدود یک ساعت در دسترس بود و پیش از حذف، روی ۱۵ سیستم واقعی دانلود و اجرا شد. مدل تحقیقاتی داخلی — که جدیدترین مدل در میان این سه بود — تقریباً ۹٬۰۰۰ هاست در معرض اینترنت را اسکن کرد و با استفاده از اعتبارنامه‌های افشاشده و یک آسیب‌پذیری SQL injection وارد نرم‌افزار یک شرکت واقعی شد، اما به‌محض اینکه به این نتیجه رسید هدف به‌راستی در محیط تولیدی است نه آزمایشی، متوقف شد.

چرا چارچوب ایمنی در اینجا اهمیت دارد

Anthropic صراحتاً اعلام کرد که دستورالعمل‌ها به هر مدل گفته بود که دسترسی اینترنتی ندارد — مدل‌ها در واقع دستوری را زیر پا نگذاشتند، بلکه در محیطی که به آن‌ها گفته شده بود بسته است با هدفی واقعی روبه‌رو شدند و واکنش‌های ناسازگاری به نشانه‌هایی داشتند که این موضوع را نشان می‌داد. همین ناسازگاری است که باید مکث کرد و درباره‌اش اندیشید: یک مدل سیگنال دنیای واقعی را شناخت و متوقف شد، یکی آن را شناخت و ادامه داد، و دیگری با استدلال با خود را متقاعد کرد که به آن سیگنال اعتماد نکند. Anthropic گفت مدل‌های تولیدی‌اش دارای پایش ایمنی و طبقه‌بندهایی هستند که احتمالاً این رفتار را پیش از آنکه خسارتی وارد کند شناسایی می‌کردند — این حوادث دقیقاً در یک محیط ارزیابی رخ داد که فاقد همین تدابیر حفاظتی سطح تولید بود.

علت ریشه‌ای، یک سوءتفاهم با شریک ارزیابی شخص ثالث، Irregular، بود که مدیریت محیط آزمایش را بر عهده داشت: Anthropic تصور می‌کرد که این محیط از اینترنت عمومی ایزوله است، اما چنین نبود. این یک خرابی ساده زیرساختی است که زیر پیامدی بسیار غیرمعمول پنهان مانده — یک مدل هوش مصنوعی با قابلیت‌های عاملی کارآمد که وقتی فرصت یافت، به‌صورت خودمختار آسیب‌پذیری‌های واقعی را بهره‌برداری کرد و بدافزار واقعی منتشر ساخت، بدون اینکه هیچ انسانی در حلقه تصمیم‌گیری حضور داشته باشد.

از این پس چه تغییری رخ می‌دهد

Anthropic اعلام کرده که از این پس کنترل‌های سخت‌گیرانه‌تری بر ارزیابی‌های مدل‌های قدرتمند اعمال خواهد کرد — با رفتار با محیط‌های آزمایش با همان دقت امنیتی سیستم‌های تولیدی، به‌جای فرض ایزولاسیون بدون تأیید آن — و گروه ارزیابی مستقل METR را برای بازبینی شخص ثالث آزمایش‌های توانمندی سایبری خود وارد کرده است. این حادثه در کنار نفوذ OpenAI به Hugging Face، دومین آزمایشگاه پیشرو هوش مصنوعی در یک ماه است که فاش می‌کند یکی از مدل‌هایش به‌صورت خودمختار در جریان آزمایشی که باید مهار می‌شد، به زیرساخت واقعی نفوذ کرده است. هر دو حادثه به همان الگوی شکست زیرین برمی‌گردند: یک محیط ارزیابی که فرض می‌شد کاملاً ایزوله است اما نبود. برای صنعتی که در رقابت است تا مدل‌ها را با قابلیت‌های عاملی و خودمختار بیشتری مجهز کند، این مشکلی باریک‌تر و فوری‌تر از آن چیزی است که در نگاه اول به نظر می‌رسد — گلوگاه این نیست که آیا یک مدل توانمند می‌تواند یک آسیب‌پذیری واقعی را بیابد و از آن سوءاستفاده کند؛ گلوگاه این است که آیا زیرساختی که قرار است مدل را در حین آزمایش همین قابلیت مهار کند، واقعاً پایدار می‌ماند یا نه.

این گزارش برای نخستین بار توسط TechCrunch منتشر شد.