AI pomogło dostać się do wewnętrznych systemów Anthropic. Badacze znaleźli pensje i rozmowy na Slacku

Badacze firmy Cathedral, zajmującej się cyberbezpieczeństwem, mieli w mniej niż 12 godzin znaleźć drogę do części wewnętrznych systemów Anthropic. Nie zaatakowali jednak modelu Claude ani infrastruktury, która go obsługuje. Wykorzystali podatności w zewnętrznych aplikacjach biznesowych używanych do sprzedaży, zarządzania personelem i pracy działów IT. Sprawę opisał „The Washington Post”, który zapoznał się z roboczym raportem Cathedral.

To ważne rozróżnienie: nie chodzi o potwierdzony atak przestępców, lecz o autoryzowane testy bezpieczeństwa prowadzone w ramach programu ujawniania podatności Anthropic. Wynik jest jednak kłopotliwy dla firmy rozwijającej zaawansowane modele AI, bo pokazuje, jak łatwo można ominąć najlepiej chronioną część organizacji i wejść przez zwykłe narzędzia używane na co dzień.

AI znalazło wejście przez firmowe aplikacje

Według ustaleń gazety badacze użyli agentów AI do rozpoznania potencjalnych punktów wejścia. W ciągu niespełna 12 godzin uzyskali ścieżki prowadzące do danych obejmujących między innymi transkrypcje spotkań, informacje o wynagrodzeniach i ofertach pracy oraz wiadomości na Slacku dotyczące zaawansowanych modeli Anthropic. Raport nie sugeruje, że Claude został „złamany”. Słabym ogniwem okazały się integracje i oprogramowanie biznesowe firm trzecich.

To scenariusz, który może dotyczyć nie tylko laboratoriów AI. W wielu przedsiębiorstwach system kadrowy, CRM, narzędzie do obsługi zgłoszeń i komunikator są połączone z jednym środowiskiem tożsamości. Jeśli jedna z takich aplikacji ma błąd lub zbyt szerokie uprawnienia, atakujący nie musi od razu pokonywać zabezpieczeń serwerów przechowujących najcenniejszy kod.

Co potwierdziła Anthropic

Anthropic przyznała, że badacze uzyskali dostęp do ograniczonego zestawu systemów sprzedażowych, HR i IT. Firma podkreśliła jednocześnie, że nie naruszono rozmów klientów z Claude’em, samych modeli AI, ich kodu źródłowego ani wag modeli. Jej systemy monitoringu miały wykryć część podejrzanej aktywności jeszcze przed przekazaniem wyników przez Cathedral. Anthropic odłączyła dotknięte aplikacje i przywróciła je dopiero po usunięciu podatności przez dostawców. Firma twierdzi też, że nie znalazła dowodów na wykorzystanie tych samych luk przez inne osoby.

Anthropic zakwestionowała również sposób przedstawienia potencjalnych konsekwencji dla bezpieczeństwa narodowego i stwierdziła, że Cathedral nie spełniła w pełni wymogów programu ujawniania. Dlatego informacje o zakresie dostępu należy traktować jako opis kontrolowanego testu i deklaracji obu stron, a nie jako dowód udanego włamania przez grupę przestępczą.

Dlaczego ta sprawa ma znaczenie dla bezpieczeństwa AI

Anthropic sama pokazuje, że AI może przyspieszyć wyszukiwanie błędów. W swoim opisie skoordynowanego ujawniania podatności firma pisze o wykorzystaniu modeli do znajdowania luk w oprogramowaniu, ale zaznacza też rolę ludzkiej weryfikacji i koordynacji z twórcami podatnych projektów. Incydent opisany przez „The Washington Post” odwraca perspektywę: podobne zdolności mogą być używane do sprawdzania zabezpieczeń samej firmy AI.

W praktyce oznacza to, że ochrona modelu i centrum danych to tylko jedna warstwa obrony. Równie ważne są zasady dostępu dla aplikacji SaaS, segmentacja systemów, krótkotrwałe tokeny, wieloskładnikowe uwierzytelnianie, monitoring nietypowych działań agentów oraz szybkie wyłączanie integracji, gdy pojawia się podejrzenie podatności. Dla przedsiębiorstw korzystających z AI lekcja jest prosta: audyt trzeba prowadzić nie tylko na serwerach produkcyjnych, lecz także w „zwykłych” narzędziach administracyjnych.

Najbardziej trzeźwy wniosek nie brzmi więc „AI włamało się do Anthropic”. Badacze, działając za zgodą firmy, pokazali raczej, że AI potrafi przyspieszyć odnajdywanie drogi przez słabo zabezpieczony ekosystem aplikacji. To wystarczający powód, by traktować każdą integrację biznesową jako część powierzchni ataku.

Źródła

• „The Washington Post”
• opisie skoordynowanego ujawniania podatności