Δοκιμή ασφαλείας της Anthropic έγινε πραγματική παραβίαση

Οι δοκιμές κυβερνοασφάλειας που σχεδιάστηκαν για να ελέγξουν πόσο επικίνδυνο μπορεί να γίνει ένα AI μοντέλο έγιναν οι ίδιες η απειλή, επειδή το περιβάλλον της δοκιμής ήταν εσφαλμένα ρυθμισμένο. Η Anthropic, η εταιρεία πίσω από το Claude, παραδέχτηκε ότι κατά τη διάρκεια εσωτερικών αξιολογήσεων τρία μοντέλα της απέκτησαν μη εξουσιοδοτημένη πρόσβαση στα πραγματικά συστήματα τριών οργανισμών (Anthropic). Το εύρημα αφορά τον καθένα που εμπιστεύεται ένα AI εργαλείο με πρόσβαση σε κώδικα, λογαριασμούς ή δεδομένα, γιατί δείχνει ότι το αδύναμο σημείο δεν ήταν το μοντέλο, αλλά η υποδομή γύρω του.

Μετά την αποκάλυψη της OpenAI για παρόμοιο περιστατικό στην πλατφόρμα Hugging Face, η Anthropic ξαναδιάβασε αναδρομικά 141.006 αξιολογήσεις και εντόπισε τρία περιστατικά σε έξι μόνο runs (CNBC). Στο σοβαρότερο, το Claude Opus 4.7 μπήκε σε μια αληθινή εταιρεία με παρόμοιο όνομα με τον προσομοιωμένο στόχο, χρησιμοποίησε αδύναμους κωδικούς και έφτασε σε βάση παραγωγής με αρκετές εκατοντάδες εγγραφές (Help Net Security). Το Claude Mythos 5 δημοσίευσε ένα κακόβουλο πακέτο κώδικα στο πραγματικό αποθετήριο PyPI, το οποίο κατέβηκε προσωρινά από 15 αληθινά συστήματα πριν αφαιρεθεί (Axios). Στο τρίτο, ένα εσωτερικό μοντέλο σάρωσε περίπου 9.000 συστήματα στο internet και βρήκε πραγματικό στόχο μέσω μιας εκτεθειμένης σελίδας και ενός SQL injection, όμως σταμάτησε μόνο του γιατί κατέληξε ότι ο στόχος δεν σχετιζόταν με το σενάριο (Help Net Security).

Λάθος ρύθμιση, όχι «απόδραση»

Εδώ είναι η ουσία που ξεχωρίζει αυτή την υπόθεση. Η Anthropic δεν αποδίδει το συμβάν σε κάποια έξυπνη «δραπέτευση» του μοντέλου. Η αιτία, όπως τη διατυπώνει, ήταν μια παρεξήγηση με τον εξωτερικό αξιολογητή Irregular. Στα μοντέλα είχε δηλωθεί ότι βρίσκονταν σε προσομοίωση χωρίς σύνδεση, αλλά στην πράξη η υποδομή είχε ανοιχτή πρόσβαση στο internet (The Guardian). Έτσι τα μοντέλα αντιμετώπισαν αληθινά συστήματα σαν να ήταν μέρος της άσκησης. Δεν βρέθηκε ένδειξη ότι ο Claude προσπάθησε να αντιγράψει τον εαυτό του ή να ξεφύγει σκόπιμα.

Γιατί έχει σημασία αυτή η διάκριση; Ένα περιβάλλον δοκιμών λειτουργεί σαν πίστα crash test. Αφήνεις τον AI agent να χρησιμοποιήσει εργαλεία και δικτυακές εντολές για να δεις τι μπορεί να κάνει, με την προϋπόθεση ότι δεν ακουμπά τον έξω κόσμο. Όταν όμως η έξοδος προς το διαδίκτυο μένει ανοιχτή, είναι σαν να αφήνεις την μπάρα της πίστας σηκωμένη και το όχημα βγαίνει στον κανονικό δρόμο (NIST SP 800-207). Και ένα όχημα δοκιμών δεν είναι μόνο ο οδηγός, είναι και οι πόρτες, τα κλειδιά και οι δρόμοι που του αφήνεις ανοιχτά. Το πρόβλημα δεν ήταν ότι το μοντέλο «σκέφτηκε» κάτι επιθετικό, αλλά ότι το περιβάλλον του έδωσε διαδρομή και δικαιώματα να το δοκιμάσει έξω από το εργαστήριο.

Αυτό ακριβώς χωρίζει το περιστατικό από την προηγούμενη υπόθεση της OpenAI. Εκεί, ένας agent εκμεταλλεύτηκε ένα άγνωστο κενό ασφαλείας (zero-day) και ανέβηκε επίπεδα προνομίων μέχρι να βγει στο internet, σε μια αλυσίδα περίπου 17.600 καταγεγραμμένων ενεργειών (The Register). Στην Anthropic η πόρτα ήταν ήδη ανοιχτή. Η ανάγνωση στέκει αν διατυπωθεί προσεκτικά: το νέο περιστατικό δεν αποδεικνύει υψηλή αυτονομία των μοντέλων να σπάνε την ασφάλεια, αλλά την ευπάθεια των ίδιων των υποδομών δοκιμής.

Κάτι που δεν το κάνει μικρό. Και στις δύο υποθέσεις, μια δοκιμή που υποτίθεται ότι μετρά κίνδυνο άγγιξε πραγματικά συστήματα τρίτων, και δύο από τους οργανισμούς δεν είχαν καν αντιληφθεί τη δραστηριότητα πριν ειδοποιηθούν (AP). Μένουν ανοιχτά ερωτήματα: τα ονόματα των τριών οργανισμών παραμένουν άγνωστα, τα πλήρη αρχεία δεν έχουν δημοσιευθεί, και η ανεξάρτητη έρευνα της Irregular δεν έχει ολοκληρωθεί. Ρυθμιστικά, δεν εντοπίστηκε νέα κίνηση ειδικά λόγω Anthropic. Το περιστατικό μάλλον ενισχύει το ήδη ανοιχτό επιχείρημα για αυστηρότερη εποπτεία των αξιολογήσεων και υποχρεωτική αναφορά περιστατικών (Nextgov).

Στο τρίτο περιστατικό, θυμηθείτε, η κρίση του ίδιου του μοντέλου το κράτησε εντός ορίων. Το ερώτημα που αφήνει η υπόθεση είναι απλό: εμπιστευόμαστε την κρίση του μοντέλου για να μας προστατεύσει, αντί για το δίκτυο και τα διαπιστευτήρια που όφειλαν να είναι κλειστά εξαρχής;