Исследователи стартапа Cathedral с помощью ИИ-агентов получили доступ к внутренним системам Anthropic через сторонние деловые приложения. Разработчик Claude подтвердил доступ к ограниченному набору систем, но оспаривает масштаб и длительность проникновения. Для пользователей главный вопрос — какие данные оказались доступны: рабочие записи и контакты или переписка с Claude.
Через какие приложения получили доступ
Исследование проходило в рамках программы Anthropic по вознаграждению за найденные уязвимости. Точкой входа стали внешние программы для административной работы и продаж, а не сам чат Claude. ИИ-агенты — программы, которые могут выполнять последовательность действий с помощью моделей, — помогали исследователям искать пути к внутренним данным.
Cathedral утверждает, что агенты менее чем за 12 часов нашли пути к расшифровкам совещаний, данным о зарплатах, объявлениям о вакансиях и сообщениям Slack. Это версия исследователей, а не согласованная обеими сторонами оценка длительности всей проверки.
Что подтвердила Anthropic
По заявлению Anthropic, исследователи получили доступ к ограниченному набору систем продаж, кадровой службы и ИТ. Среди доступных данных были контакты некоторых клиентов и партнёров, а также базовые сведения об учётных записях пользователей.
Компания заявляет, что переписка с Claude, исходный код и параметры моделей, определяющие их работу, не были раскрыты. Поэтому описывать этот случай как подтверждённую утечку разговоров пользователей с Claude нельзя.
Anthropic сообщила, что закрыла затронутые точки доступа в день обнаружения проникновения, отключила сторонние программы до устранения проблемы и уведомила федеральные органы США. Дата самого проникновения в доступных сведениях не названа.
О чём спорят участники
Сотрудник Anthropic Логан Грэм утверждает, что попытки проникновения продолжались несколько дней: сначала Cathedral проверяла собственные системы Anthropic и лишь затем переключилась на стороннее ПО. По версии компании, исследователи нашли две уязвимости, но сообщили только об одной; вторую Anthropic обнаружила и исправила самостоятельно.
Компания также обвиняет Cathedral в неполном раскрытии результатов. Грэм заявил, что проверка сторонних поставщиков и извлечение данных выходили за пределы предусмотренной программой защиты исследователей от претензий. Cathedral настаивает, что следовала обычной практике исследований безопасности.
Отдельный спор касается Slack. Бывший сотрудник OpenAI Уилл Депью со ссылкой на свои источники заявил о полном административном доступе Cathedral к рабочему пространству. Грэм отверг эти сведения. Полный доступ ко всей переписке нельзя считать установленным фактом.
Почему в центре внимания — подключённые сервисы
Неприятная деталь здесь не в том, что чат-бот дал неверный ответ. Путь к рабочим данным прошёл через сторонние приложения. Руководитель информационной безопасности Cognition Алекс Стамос назвал результаты значимыми и отметил, что подключённые внешние сервисы создают серьёзную проблему для отрасли.
Грэм предупреждает, что злоумышленники уже используют ИИ-агентов круглосуточно для поиска слабых мест во внешних зависимостях. Он предлагает непрерывно проверять собственную защиту имитацией атак и перестраивать программы с математической проверкой их свойств. Это его рекомендации, а не объявленный результат внедрения таких мер в Anthropic.
Этот случай не доказывает, что любой агент способен взломать любую компанию. Он показывает конкретный путь проникновения, при этом границы доступа остаются предметом спора. Для более широкого контекста пригодится материал о восьми фактах об ИИ-агентах в работе на примере OpenAI и Anthropic.
