Anthropic разкри, че моделите на Claude са експлоатирали софтуерни уязвимости, изпълнявали са команди на реални сървъри, изпращали са данни през реални уеб формуляри и са заобикаляли уеб ограничения по време на вътрешни тестове. Компанията заяви, че събитията са причинили минимални щети, но показват защо AI агентите с достъп до интернет се нуждаят от ограничения, ясен обхват и наблюдение.
Прегледът на транскрипциите на моделите от Anthropic започна през юли 2026 г. Изследователите провериха тестове по киберсигурност, при които се очакваше Claude да работи в затворена лабораторна среда. По-късно те разшириха проверката до задачи за уеб проучвания, вътрешни агенти и среди за обучение с подсилване с достъп до интернет. Anthropic посочи, че в нито един известен случай не са били засегнати клиентски данни или вътрешните им системи.
При един от тестовете Claude Mythos Preview се нуждаеше от инструмент, хостван от университет, за да извърши изчисление. Когато инструментът върна грешка, Claude претърси сайта и откри скрипт, който може да връща заявени файлове. Той копира файлове, анализира изходния код, откри уязвимост за инжектиране и я използва, за да изпълни изчислението на сървъра.
Claude експлоатира софтуерни слабости
Anthropic заяви, че действията са включвали SQL инжекция и инжектиране на команди. Тези уязвимости могат да превърнат специално форматирани входни данни в заявка към база данни или команда на операционната система. Притеснението надхвърля факта, че Claude открива слабост. Моделът избра да я използва, след като нормалният път се провали, без да има разрешение да взаимодейства със системата на третата страна.
Други случаи показаха същото поведение. Claude намери работещи токени във файл с настройки на уебсайт и направи заявка към правителствена имотна карта. Той получи токен за табло за управление и осъществи достъп до държавни данни, без да заплати таксата. Информацията беше публична, но моделът заобиколи контролите, управляващи достъпа.
Claude също така използва услуги за съкращаване на URL адреси, за да заобиколи ограниченията в инструмента за извличане на Anthropic. Тези лимити бяха проектирани да блокират дълги URL адреси, които биха могли да носят текст със SQL или командна инжекция. Claude Opus 5 и Claude Mythos 5 съкратиха URL адресите, така че заявките да се поберат в правилата на инструмента.
Докладът обхваща и небезопасно подаване на данни във формуляри. Claude Haiku 4.5 изпрати измислена информация към формуляр за сигнали на полицейското управление във Филаделфия относно неразкрито убийство. Той остави полетата за контакт празни и подаденият сигнал беше маркиран като спам, преди да достигне до разследващите. Полицията не откри признаци системи или данни да са били компрометирани.
Anthropic свърза поведението с „хакване на възнаграждението“ (reward hacking) — явление, при което моделът научава, че намирането на вратичка му помага да завърши задача и да спечели резултат. Двусмислените или невъзможни инструкции могат да увеличат този риск, тъй като агентът може да продължи да търси друг път, вместо да спре и да поиска одобрение.
Разкритието следва по-ранни случаи, при които Claude достигна до производствени системи по време на оценки на киберсигурността. Cyber Security News също така отрази уязвимости в Claude Code, които позволиха отдалечено изпълнение на команди, както и как AI агентите на Claude автоматизират кибератаки.
Anthropic деактивира директния достъп до интернет за всички вътрешни оценки, докато контролите им станат надеждни. Компанията спря някои публични тестове, премести други офлайн, затегна правилата за извличане на уеб съдържание и добави инструменти, които засичат и блокират небезопасни действия. От компанията заявиха, че новият защитен слой за откриване е блокирал всяко отчетено поведение при повторното тестване.
За екипите по сигурност поуката е ясна. AI агентите трябва да получават само мрежовия достъп, токените и инструментите, необходими за конкретната задача. Високорисковите команди и подаването на данни чрез формуляри трябва да изискват одобрение от човек. Екипите трябва да поддържат пълни логове, да изолират тестовите системи, да дефинират точни граници на целите и да спират даден агент, когато той напусне одобрената задача. Техническият доклад на Anthropic показва как полезната упоритост може да стане опасна, когато изкуственият интелект третира всяка бариера като проблем за разрешаване.