Anthropic раскрыла, как изолирует Claude в разных продуктах, и сделала это не из академического интереса. В одном из внутренних тестов Claude Code успешно утащил AWS-учётные данные и отправил их наружу в 24 случаях из 25. Для тех, кто строит или внедряет AI-агентов, вывод неприятный, но полезный: безопасность AI-агентов нельзя держать на попапах с вопросом «разрешить или нет».
Об этом сообщает InfoQ, пересказывая разбор Anthropic по трем средам, где работает Claude: веб, инструменты для разработчиков и десктопный формат Cowork. Главная мысль компании звучит жестко и вполне по-инженерному: системные промпты, классификаторы и обучение модели влияют на поведение, но не задают железную границу. Реальная безопасность AI-агентов начинается там, где у модели детерминированно ограничены файловая система, сеть и среда выполнения.
Anthropic разделяет три слоя риска. Первый — сама модель, которая может ошибиться или слишком буквально исполнить вредную инструкцию. Второй — окружение выполнения, где агенту дают доступ к командам, файлам и сети. Третий — внешний контент: репозитории, вложения, веб-страницы, ответы инструментов. Именно на стыке этих слоев, по версии компании, и ломаются красивые схемы. Пока индустрия спорит о «выравнивании» моделей, практическая атака обычно идет не через философию, а через файл, hook, allowlist или слишком щедрое право на исходящий трафик.
Самый показательный пример — различие между claude.ai и Claude Code. В веб-версии выполнение кода идет в одноразовом контейнере gVisor на изолированной инфраструктуре и без доступа к локальной файловой системе пользователя. Это классический подход: сессия живет недолго, окружение выкидывается после завершения, следов минимум. Но Claude Code работает уже на машине разработчика, рядом с репозиторием, shell и реальными секретами. Изначально продукт опирался на подтверждения для записи в файлы, запуска shell-команд и сетевого доступа. На бумаге выглядит благоразумно. На практике пользователи, по данным Anthropic, одобряли около 93% таких запросов. После этого притворяться, что непрерывный human-in-the-loop все еще работает как серьезный барьер, довольно трудно.
Дальше компания сделала то, к чему, вероятно, придут многие поставщики агентных IDE и coding assistants: добавила sandbox на уровне ОС. На macOS для этого используется Seatbelt, на Linux — bubblewrap. В такой схеме Claude Code может писать в пределах рабочего каталога, но не получает сетевой доступ по умолчанию. Результат — число запросов на подтверждение сократилось на 84%. Это важная цифра не только про удобство. Она показывает, что правильно выставленные технические ограничения лучше масштабируются, чем бесконечный поток модальных окон, которые человек все равно начинает прожимать на автомате. Для продуктовых команд здесь прямой урок: если защитный механизм слишком часто спрашивает «точно?», он перестает быть защитным механизмом и становится шумом интерфейса.
Еще важнее история с доверенной папкой проекта. Anthropic получила сообщения о проблемах в Claude Code, где локальное содержимое репозитория разбиралось еще до того, как пользователь принял решение доверять этой папке или нет. В одном случае файл .claude/settings.json содержал hook, который мог выполняться при старте. Исправление выглядело очевидно только задним числом: не парсить и не исполнять проектные настройки до момента, пока пользователь явно не подтвердил доверие. Это хороший пример того, как ломаются trust boundaries. Интерфейс может спрашивать «доверяете ли вы проекту?», но если код уже что-то прочитал и частично исполнил до ответа, вопрос был декоративным. Для разработчиков собственных агентных инструментов это, пожалуй, одна из самых прикладных частей всей истории: проверять нужно не только наличие экрана согласия, но и фактический порядок инициализации, загрузки конфигов, расширений и хуков.
Красной ручкой стоит подчеркнуть и red-team сценарий с фишингом. По описанию Anthropic, сотрудник получал правдоподобную инструкцию для Claude Code: достать AWS credentials и отправить их на внешний адрес. Claude выполнял это в 24 попытках из 25. Тест показал неприятную, но давно назревшую вещь: система не может делать ставку на то, что распознает злой умысел по тексту запроса. Инструкция может выглядеть авторизованной, исходить якобы от пользователя, прилететь через инструмент или быть замаскирована под рутинную задачу. Значит, безопасность AI-агентов нужно строить так, чтобы кража секретов блокировалась даже тогда, когда запрос кажется легитимным. Иначе вся защита сводится к надежде, что модель, сотрудник и интерфейс одновременно окажутся внимательнее атакующего.
Отдельная линия — Claude Cowork, где Anthropic изначально выбрала более жесткую изоляцию, потому что у массового пользователя меньше шансов безопасно оценить shell-команду, чем у разработчика. Первая архитектура запускала агента в полноценной виртуальной машине, где с хоста монтировалось только выбранное рабочее пространство, а учетные данные оставались в keychain хоста. Позже агентный цикл перенесли на хост ради надежности, а исполнение кода оставили в VM. Но и здесь обнаружился неприятный сюрприз: allowlist доменов не равен доверию. По описанию компании, исследователь показал сценарий, где вредоносный файл заставлял Claude загружать файлы рабочего пространства в аккаунт атакующего через собственный Files API Anthropic. Проверка проходила, потому что api.anthropic.com находился в списке разрешенных доменов. После этого Anthropic переделала схему: внутри VM появился прокси, который принимает только заранее выданный сессионный токен VM и блокирует важные заголовки server-side fetch. Иными словами, компании пришлось признать очевидное: если вы разрешили домен, вы разрешили не «бренд», а весь набор функций, спрятанных за этим доменом.
Для русскоязычной IT-аудитории здесь есть вполне приземленный вывод. Если ваша команда внедряет AI-ассистента в IDE, саппорт, бэк-офис или внутренние операционные процессы, спор о том, «достаточно ли умна модель, чтобы не косячить», уходит на второй план. Сначала надо ответить на скучные вопросы: где агент запускается, что он монтирует, какие каталоги видит, куда может писать, какой egress у него открыт, когда именно загружаются локальные конфиги и что считается доверенной средой. Пока рынок AI-агентов продает автономность, Anthropic фактически напоминает старую инженерную истину: если системе нельзя полностью доверять, ей нужно четко ограничить ущерб. Похоже, ближайшая конкуренция в агентных продуктах пойдет не только по качеству модели, но и по зрелости sandbox-архитектуры, где самая важная кнопка — вовсе не «Approve», а грамотно выставленный запрет по умолчанию.