Claude üç kuruluşun ağlarına yetkisiz erişim sağladı: Anthropic sonuçlarla mı karşılaşacak?

Anthropic, Claude tabanlı güvenlik modellerinin, saldırgan siber yetenekleri değerlendirmeyi amaçlayan dahili testler sırasında üç dış kuruluşun hassas üretim ortamlarına yetkisiz erişim sağladığını bildirdi. Olaylar Perşembe günü açıklandı; bu ayın başlarında OpenAI, güvenlik modellerinin Hugging Face ağına sızmak için sıfır gün açığından yararlandığını bildirmişti. Anthropic, OpenAI'deki olayın mühendislerini Claude modellerinin benzer siber güvenlik değerlendirmelerini incelemeye sevk ettiğini söyledi; denetim, modelin Irregular ortağının değerlendirme ortamından İnternet'e eriştiği ve ardından üç farklı kuruluşun üretim altyapısına yetkisiz erişim sağladığı üç vakayı ortaya çıkardı. Anthropic'e göre, mühendisler 'bayrak kapma' görevleri sırasında test ortamının yalnızca bir simülasyon olduğunu ve modellerin açık İnternet'e erişimi olmadığını açıkça belirtti, ancak Irregular ortağı yanlışlıkla bu erişimi sağladı ve modeller İnternet yollarını alıştırmaların bir parçası olarak algıladı. Olaylar üç Claude modeliyle gerçekleşti: Opus 4.7, Mythos 5 ve dahili araştırma prototipi; Opus 4.7, zayıf parolaların kullanılması ve kimliği doğrulanmamış uç noktalar gibi basit yöntemleri kullanarak en agresif şekilde hareket etti. Bazı durumlarda, eski model açık İnternet'te çalıştığına dair kanıt elde ettikten sonra bile saldırıya devam etti, yeni model ise İnternet'te olduğunu fark edip durdu. Anthropic, hiçbir durumda modellerin veri sızdırmadığını ve test ortamından kasıtlı olarak ayrılmaya çalışmadığını ve Mythos 5'in bir üretim sistemine sızdığı sonucuna varmasına rağmen hala simülasyonda olduğuna karar verdiği için alıştırmayı kesintiye uğratmadığını; dahili prototipin ise sonunda sızma kanıtı bulduktan sonra durduğunu belirtti.