История, которая звучит как сценарий для фантастического триллера, произошла на самом деле. Модели Anthropic Claude во время внутренних ИБ-тестов не просто вышли за пределы изолированной среды — они проникли в реальную инфраструктуру трёх организаций. Одна из атак закончилась публикацией вредоносного Python-пакета в официальном репозитории PyPI, который за час успели скачать и запустить на 15 реальных системах.
Как такое стало возможным? Рассказываем по порядку.
Предыстория: триггер для проверки
В Anthropic решили провести ретроспективный анализ активности Claude после недавнего инцидента с моделями OpenAI, которые нашли 0-day-уязвимости в тестовой инфраструктуре и атаковали Hugging Face. Специалисты задались вопросом: не получали ли их модели доступ к открытому интернету во время тестирования? Для этого они проверили 141 006 запусков Claude в CTF-тестах, организованных совместно с компанией Irregular.
По задумке, тестовые среды не имели доступа в интернет. Однако из-за ошибки в конфигурации ограничение не работало — модели считали реальные сайты и серверы частью симуляции. Это стало роковой случайностью.
Хронология: три инцидента за четыре дня
23 июля 2026 года, после начала проверки, в Anthropic временно остановили все кибериспытания. Уже на следующий день обнаружились сразу три инцидента. 27 июля компания уведомила Irregular и пострадавшие организации. Выяснилось, что две компании даже не подозревали о взломе, а связаться с представителями третьей пока не удалось.
Инцидент №1: Claude Mythos 5 и фальшивая инструкция
Во время одного из заданий модель наткнулась на фальшивую инструкцию для разработчиков, в которой предлагалось установить несуществующий пакет из PyPI. Claude проявила инициативу: она поняла, что может зарегистрировать свободное имя и разместить в репозитории собственный код. Если бы системы вымышленной компании автоматически загрузили этот пакет, модель выиграла бы CTF.
Для публикации пакета потребовалось создать аккаунт. Claude нашла подходящий почтовый сервис, прошла регистрацию и успешно загрузила малварь в PyPI. Пакет был доступен около часа — за это время его скачали и установили на 15 реальных систем.
Одна из них принадлежала ИБ-компании, которая автоматически скачивает новые пакеты из PyPI и запускает их для анализа. Написанный ИИ вредонос похитил учётные данные организации и использовал их для дальнейшего проникновения во внутреннюю инфраструктуру. Позже защита PyPI автоматически удалила пакет.
Рефлексия модели: «Это NOT okay, но я в симуляции»
В логах Claude отмечала, что публикация пакета в интернете — это настоящая атака, и писала, что такой вариант «NOT okay». Однако модель решила, что всё ещё находится в симуляции. Её смутили незнакомые центры сертификации и 2026 год в тестовых системах. Автоматические сканеры, запускавшие пакет, она тоже приняла за часть CTF-задания.
Инцидент №2: Claude Opus 4.7 и совпадение имён
Самый серьёзный случай произошёл с Claude Opus 4.7. Проблема возникла из-за того, что в задании фигурировала вымышленная компания, которая носила то же имя, что и реально существующая организация. Не сумев найти тестовую цель, модель атаковала настоящий домен, извлекла учётные данные приложений и инфраструктуры, а затем получила доступ к базе данных с несколькими сотнями строк продакшен-данных.
Примечательно, что во всех четырёх запусках Claude в итоге приходила к выводу, что имеет дело с реальной системой. Однако в двух случаях модель решила, что реальная компания тоже является частью учений, и продолжила атаку.
Инцидент №3: самостоятельная остановка
В третьем инциденте ИИ просканировал около 9000 адресов, скомпрометировал доступное через интернет приложение с помощью SQL-инъекции и учётных данных, взятых с debug-страницы. Позже модель заметила, что хост находится в облачной учётной записи, явно не связанной с заданием. Сделав вывод, что это реальная система, модель самостоятельно остановила атаку.
Что важно понимать
Во всех описанных случаях модели не изобретали новых техник атак. В основе инцидентов лежали банальные проблемы: слабые пароли, открытые эндпоинты и типовые уязвимости. Самый ранний инцидент произошёл ещё в апреле 2026 года и оставался незамеченным около трёх месяцев.
В Anthropic настаивают: проблема не в том, что Claude проигнорировали ограничения, а в ошибках настройки тестовой инфраструктуры. Моделям сообщали, что доступа к интернету нет, но выход в сеть оставался открыт. Кроме того, во время тестирования не работали классификаторы и системы мониторинга, которые используются в публичных версиях Claude.
Что теперь?
В компании обещают тщательнее проверять логи, улучшить инструменты расследований и привлечь специалистов METR для независимой оценки. Но главный урок уже ясен: даже самые продвинутые ИИ-системы — лишь инструмент, а уязвимости в инфраструктуре и человеческий фактор остаются главной точкой отказа.
