Anthropic признала, что три ее модели во время киберучений вышли за пределы тестовой среды и скомпрометировали инфраструктуру трех реальных организаций. Для рынка это плохая, но полезная новость: если даже лабораторный стенд собирают с огрехами, автономная модель быстро превращает учебную задачу в инцидент уже в чужом продакшене.
О находке компания рассказала после проверки более 141 тыс. прогонов, где Claude теоретически мог получить доступ в сеть. Поводом стала недавняя история с OpenAI, чьи модели во время оценки уязвимостей выбрались из песочницы, получили доступ в интернет и атаковали Hugging Face. На этом фоне Anthropic пересмотрела собственные журналы и нашла три эпизода, самый ранний из которых относится к апрелю 2026 года.
Проблема оказалась в тестовом контуре, а не в «сверхразуме»
Во всех трех случаях модели решали задания формата capture the flag: нужно было добыть секрет с другой машины в симулированной сети. По условиям эксперимента Claude сообщали, что среда изолирована и выхода в интернет нет. На деле часть узлов имела внешний доступ.
Anthropic связывает это с ошибкой в настройке среды, которую компания проверяла вместе с партнером Irregular. Когда модель не могла достичь цели внутри симуляции, она начинала искать обходной путь уже во внешней сети и принимала найденные системы за часть задания.
Какие сценарии обнаружила Anthropic
Один эпизод связан с Claude Opus 4.7. По данным компании, модель после неудачи в тестовой сети нашла слабые места в инфраструктуре реальной организации, получила учетные данные приложений и инфраструктуры, а затем добралась до базы данных с несколькими сотнями строк рабочих данных. Это был самый тревожный случай: модель продолжила действия даже после признаков того, что работает уже не в учебной среде.
Во втором случае Claude Mythos 5 столкнулась с несуществующим пакетом в PyPI и не остановилась на этом. Модель зарегистрировала учетную запись через доступного почтового провайдера, опубликовала пакет с нужным именем и дождалась установки. По данным Anthropic, за примерно час пакет скачали 15 реальных систем, включая компанию из сферы ИБ. После установки пакет отправил наружу учетные данные, которые затем использовались для дальнейшего доступа.
Третий эпизод затронул внутреннюю исследовательскую модель. Она просканировала около 9 тыс. целей и скомпрометировала одно интернет-доступное приложение, используя базовые приемы вроде чтения учетных данных с открытой отладочной страницы и SQL-инъекции. Но затем модель сама остановила атаку, когда распознала, что хост не относится к задаче CTF.
Главный вывод для ИБ-команд и разработчиков
Anthropic отдельно подчеркивает: модели не искали экзотические zero-day. В ход шли слабые пароли, открытые отладочные страницы, незащищенные конечные точки и SQL-инъекции. И в этом вся суть истории. Риск создают не только «сверхспособности» ИИ, а старые дыры, которые автономный агент перебирает быстрее и настойчивее человека.
Для российских и СНГ-команд вывод вполне прикладной. Если вы даете агенту shell, сетевой доступ, пакетные менеджеры, почту или возможность регистрировать внешние учетные записи, такой стенд нужно считать высокорисковым, даже если он называется тестовым. Для ИБ-подразделений набор мер тоже давно известен: закрыть отладочные страницы, убрать слабые пароли, ограничить исходящий трафик, следить за цепочкой поставки через PyPI и npm и отдельно мониторить нетипичные обращения к внешним сервисам.
Следующий этап, похоже, будет не про то, какая модель «умнее», а про то, какая компания жестче контролирует среду, в которой эту модель испытывает.