به گزارش WIRED، یکی از پیمانکاران Accenture حساب شخصی Claude Code خود را به شبکه امن وزارت دفاع وصل کرد و عامل هوش مصنوعی کدنویسی به‌مدت دو ماه در آن شبکه فعال بود؛ تا اینکه آسیب‌پذیری شناسایی و برطرف شد. منابع به WIRED گفتند این عامل اطلاعات ورود و جزئیاتی درباره شبکه را به یک وب‌سایت ثالث فرستاد که مؤسسه ملی استانداردها و فناوری پیش‌تر آن را پرخطر ارزیابی کرده بود.
این شبکه که NIPRNet نام دارد، اطلاعات طبقه‌بندی‌نشده، از جمله اطلاعات طبقه‌بندی‌نشده کنترل‌شده (CUI)، را منتقل می‌کند. این دسته می‌تواند شامل جزئیات حساس درباره زیرساخت‌ها، تجهیزات نظامی و مواد خطرناک باشد. منابع گفتند پیمانکار اطلاعات ورود و دسترسی مدیریتی را در اختیار عامل گذاشته بود تا کد بنویسد و آن را اجرا کند. برای انجام این کار، عامل به اتصال اینترنت نیاز داشت.
مشخص نیست پس از رسیدن اطلاعات به وب‌سایت چه اتفاقی برای آن‌ها افتاده است. به گزارش WIRED، نشانه‌ای وجود ندارد که هکرها به سامانه‌های طبقه‌بندی‌شده یا فوق‌محرمانه دسترسی پیدا کرده باشند. وزارت دفاع از اظهارنظر درباره شبکه‌هایش خودداری کرد. Accenture گفت این ادعاها به‌طور کامل و مستقل بررسی شده و بی‌اساس تشخیص داده شده‌اند و این شرکت به تعهدات قانونی و قراردادی خود عمل کرده است.
چرا این افشای اطلاعات می‌تواند مهم باشد؟
NIPRNet از شبکه‌های طبقه‌بندی‌شده ارتش، یعنی SIPRNet و JWICS، جداست؛ این شبکه‌ها به شبکه‌های بیرونی وصل نیستند. بااین‌حال، کارشناسان امنیتی به WIRED گفتند دسترسی به NIPRNet می‌تواند فراتر از داده‌های ارسال‌شده نیز خطرآفرین باشد. اطلاعات ورودِ سرقت‌شده ممکن است به مهاجم کمک کند وارد شبکه شود و جزئیات نحوه ارتباط سامانه‌های آن با یکدیگر می‌تواند به پیدا کردن اهداف ارزشمند کمک کند.
کدی که در NIPRNet ساخته یا آزمایش می‌شود، ممکن است در محیط‌های حساس‌تر هم به کار گرفته شود. جیک ویلیامز، هکر سابق NSA، به WIRED گفت کد مخرب ممکن است در NIPRNet عادی عمل کند، اما اگر در شبکه‌ای طبقه‌بندی‌شده اجرا شود، آسیب بزند. هیچ مدرکی وجود ندارد که چنین اتفاقی در این مورد رخ داده باشد. ابزارهای معمول اسکن کد ممکن است درِ پشتیِ تعمدی را شناسایی نکنند، چون چنین چیزی لزوماً نقص نرم‌افزاری نیست.
گزارش‌دهی و نظارت
کارمندان و پیمانکاران دولت فدرال موظف‌اند رخدادهای امنیت سایبری را حداکثر تا 72 ساعت پس از شناسایی گزارش کنند. منابع به WIRED گفتند Accenture در ابتدا این رخداد را به دولت گزارش نکرد و کارکنان آن را فوری تلقی نکردند. Accenture روشن نکرد چه کسی بررسی را انجام داده است. این شرکت بیش از $3.5 billion قرارداد فدرال دارد که نزدیک به $605 million آن با وزارت دفاع است.
این رخداد در شرایطی اتفاق افتاده که عامل‌های هوش مصنوعیِ کدنویسی می‌توانند سریع‌تر از انسان‌ها کد تولید کنند. ویلیامز به WIRED گفت همین موضوع بررسی منشأ کد و عملکرد آن را دشوارتر می‌کند. پرسش عملی برای نهادهای دولتی این است که چگونه از این ابزارها استفاده کنند، بی‌آنکه به سامانه‌ها یا اطلاعاتی دسترسی پیدا کنند که نباید به آن‌ها برسند.
چرا مهم است
این رخدادِ گزارش‌شده نشان می‌دهد واگذاری دسترسی مدیریتی به یک عامل کدنویسی چگونه می‌تواند اطلاعات ورود و جزئیات حساس شبکه را افشا کند؛ حتی اگر سامانه طبقه‌بندی‌نشده باشد. WIRED نشانه‌ای از دسترسی به سامانه‌های طبقه‌بندی‌شده نیافت، اما هنوز مشخص نیست اطلاعات ارسال‌شده به وب‌سایت ثالث چه سرنوشتی پیدا کرده است.
