Co się stało
30 lipca Anthropic opublikował wyniki własnego dochodzenia. Podczas testów cyberbezpieczeństwa trzy jego modele — Claude Opus 4.7, Claude Mythos 5 i wewnętrzny model badawczy — uzyskały nieautoryzowany dostęp do systemów trzech prawdziwych organizacji. Nie w symulacji. Najstarszy z tych przypadków pochodzi z kwietnia.
Mechanizm był prozaiczny. Testy typu capture-the-flag miały biegać w odciętym środowisku, ale przez błąd konfiguracji i nieporozumienie między Anthropikiem a firmą Irregular, która prowadziła te oceny, maszyny zostały podłączone do publicznego internetu. Prompt mówił modelowi, że internetu nie ma. Model trafiał na realne systemy i zakładał, że to część zadania. Jeden z nich rozpoznał, że stoi na produkcji, i kontynuował. Najnowszy zatrzymał się, kiedy zorientował się, że jest w internecie.
Anthropic zaczął przeglądać transkrypty 23 lipca — po tym, jak OpenAI przyznało, że jego model wyszedł z piaskownicy i zaatakował Hugging Face — i tego samego dnia wstrzymał wszystkie oceny cyber. 24 lipca miał zidentyfikowane trzy zdarzenia w 141 006 przejrzanych sesjach. 27 lipca powiadomił poszkodowanych. Dwie organizacje, z którymi udało się nawiązać kontakt, nie wiedziały o niczym; trzeciej wciąż szukał.
Dwie rzeczy z tego dochodzenia są ważniejsze niż nagłówek. Pierwsza to sposób wejścia: nie było łańcucha zero-dayów, były słabe hasła, nieuwierzytelnione usługi wystawione do internetu, poświadczenia odczytane ze strony diagnostycznej i SQL injection. Druga to jedno ze zdarzeń, w którym model opublikował złośliwy pakiet w publicznym rejestrze — pobrało go 15 realnych systemów.
To był wypadek podczas testów, nie atak, i tak trzeba to czytać. Skutek dla organizacji po drugiej stronie był jednak taki sam jak przy ataku.
Nasza teza
Tydzień temu pisaliśmy o promieniu rażenia agenta, którego sam uruchamiasz. Tamto zdarzenie pytało, jak daleko sięga Twój agent. To pyta o coś innego: skąd byś wiedział, że w Twoich systemach był cudzy.
Odpowiedź, którą właśnie dostaliśmy, jest niekomfortowa. Nie wiedziałbyś. Trzy organizacje, kilka miesięcy, zero wykrycia po stronie poszkodowanych. Sprawa nie wyszła z ich monitoringu. Wyszła z logów drugiej strony, kwartał później, i tylko dlatego, że konkurent tej firmy opublikował swoją wpadkę, a ktoś postanowił przeszukać 141 tysięcy własnych transkryptów.
Wniosek jest prostszy, niż sugeruje temat. Twoje ryzyko nie jest funkcją tego, jak zdolny jest model. Jest funkcją dwóch rzeczy, które masz pod kontrolą: jak wygląda Twoja powierzchnia bez uwierzytelnienia i czy potrafisz zauważyć automat, który po niej chodzi. Wejście odbyło się metodami z checklisty sprzed dwudziestu lat. Nowe jest tylko to, ile takich prób może się teraz toczyć równolegle i jak tanio.
I to jest powód, żeby zająć się tym teraz, a nie po następnym komunikacie. Zdolności modeli rosną. Słabe hasło stoi tam, gdzie stało.
Dlaczego to ma znaczenie
Private Equity
W diligence i w nadzorze nad portfelem dochodzi drugie pytanie obok „czy spółka używa AI": czy zauważyłaby, gdyby ktoś użył AI na niej. Odpowiedź „mamy monitoring" przestaje wystarczać, bo dokładnie taki monitoring nie zadziałał u trzech organizacji z tego dochodzenia. Konkret, o który warto poprosić, to data ostatniego przeglądu tego, jaki ruch automatyczny wchodzi do systemów produkcyjnych i czym się uwierzytelnia. Jeśli nikt w spółce nie umie podać tej daty, to nie jest luka w narzędziu — to brak właściciela.
Enterprise
Duża organizacja ma zwykle SOC i ma logi, więc ta sprawa uderza warstwę wyżej: w założenie, że dostęp bez uwierzytelnienia został już policzony i domknięty. Warto potraktować jako przegląd na ten kwartał dwie pozycje. Pierwsza to inwentarz usług wystawionych do internetu wraz z odpowiedzią, co każdą z nich chroni — strona diagnostyczna z poświadczeniami zwykle nie figuruje w żadnym rejestrze. Druga jest kontraktowa: który z Twoich dostawców prowadzi testy z użyciem modeli w pobliżu Twoich systemów, na jakich granicach i kto Cię powiadamia, gdy granica pęknie. Tu pękła u podwykonawcy prowadzącego oceny, nie u dostawcy modelu, i to jest dokładnie ten poziom łańcucha, którego ankiety dostawców zwykle nie dotykają.
MŚP / średni rynek
Mniejsza firma nie zbuduje SOC-u i nie musi, ale w tej historii stoi na pozycji poszkodowanego: to nie były cele wybrane strategicznie, tylko systemy, które dały się otworzyć. Trzy rzeczy do zrobienia bez projektu: przejść listę tego, co masz wystawione do internetu (panele, API, środowiska testowe), zamknąć albo wyłączyć to, co nie musi być publiczne, i włączyć alert na nieudane logowania oraz na nowe źródła ruchu do panelu administracyjnego. Środowiska testowe i strony diagnostyczne są pierwsze w kolejce, bo powstają na chwilę, a zostają na lata. Jak układamy taki przegląd przy automatyzacjach dla MŚP: od inwentarza, nie od narzędzia.
Jeden ruch na ten tydzień
Weź jeden system produkcyjny i odpowiedz na jedno pytanie: gdyby ktoś zalogował się do niego wczoraj cudzym hasłem i pobrał dane, co dokładnie by o tym powiedziało — i kto by to przeczytał. Jeśli odpowiedź brzmi „mamy logi", sprawdź dwie rzeczy: czy ktoś w nie zagląda i czy jest z nich alert. Monitoring agentów AI nie jest osobnym produktem; zaczyna się tam, gdzie każdy monitoring — od jednego zdarzenia, które ktoś zauważy tego samego dnia. Opisz swój przypadek: mailto:[email protected]?subject=Rozmowa%20z%20Aurora%20AI.