La startup di cybersicurezza Cathedral afferma che gli agenti AI da essa impiegati hanno trovato un modo per accedere ai sistemi aziendali interni di Anthropic attraverso software di terze parti. Anthropic ha confermato che i ricercatori hanno avuto accesso a un numero limitato di sistemi di vendita, risorse umane e IT, compresi i recapiti di alcuni clienti e partner e dati di base sugli account.
Anthropic afferma che la violazione non ha esposto le conversazioni con Claude, il codice sorgente o i pesi dei modelli. Il giorno in cui ha scoperto l’incidente ha chiuso i punti di accesso coinvolti, disattivato i programmi di terze parti mentre interveniva sul problema e informato le autorità federali statunitensi. L’azienda non ha precisato pubblicamente quali registri siano stati consultati dai ricercatori né quante persone siano state coinvolte.
Cathedral vende strumenti di sicurezza basati sull’AI ad aziende ed enti governativi. In una bozza di rapporto visionata dal The Washington Post, i suoi ricercatori affermano che gli agenti hanno raggiunto contenuti come trascrizioni di riunioni, informazioni sugli stipendi, annunci di lavoro e messaggi Slack in meno di 12 ore. Queste affermazioni si affiancano alla versione più circoscritta di Anthropic sui dati consultati; le due parti non concordano sulla durata e sulla portata dell’incidente.
Su cosa non concordano le due parti
Cathedral descrive l’incidente come durato meno di 12 ore. Anthropic afferma invece che l’attività complessiva si è protratta per diversi giorni: il suo red teamer Logan Graham ha detto che i ricercatori hanno passato giorni a sondare i sistemi di Anthropic prima di rivolgersi a software di terze parti. Secondo Anthropic, Cathedral ha individuato due vulnerabilità in quei software, ma ne ha segnalata soltanto una; l’azienda sostiene di aver trovato e risolto autonomamente l’altra.
Anthropic afferma inoltre che le azioni di Cathedral hanno violato le regole del suo programma bug bounty, che remunera o premia i ricercatori che segnalano falle di sicurezza. Graham ha detto che prendere di mira fornitori terzi ed estrarre dati andava oltre le tutele del programma per la ricerca svolta in buona fede. Cathedral sostiene di aver seguito le pratiche standard di ricerca sulla sicurezza. Graham ha accolto con favore la scoperta delle vulnerabilità, ma non ha voluto fornire altri dettagli su ciò a cui si è avuto accesso, citando la delicatezza della vicenda.
Le affermazioni più ampie restano contestate. Will Depue, ex dipendente di OpenAI, ha detto che fonti da lui ritenute affidabili gli avrebbero riferito che Cathedral aveva accesso da amministratore completo all’area di lavoro Slack di Anthropic e poteva leggere ogni messaggio e accedere come qualsiasi utente. Graham ha detto che le fonti di Depue si sbagliavano. Anthropic non ha fornito un resoconto pubblico che chiarisca la disputa: queste affermazioni, quindi, non vanno considerate conclusioni confermate.
Come si è arrivati a questo punto
Il punto d’ingresso segnalato non era Claude, ma un software esterno per le vendite e l’amministrazione collegato ad Anthropic. La distinzione è importante: l’azienda sostiene che le chat con la sua AI e gli asset dei modelli siano rimasti intatti, mentre l’incidente ha comunque esposto alcuni sistemi e informazioni aziendali. Alex Stamos, dirigente della sicurezza della società di AI Cognition, ha dichiarato al The Washington Post che le app di terze parti integrate rappresentano un problema rilevante per l’intero settore e che Anthropic avrebbe potuto proteggere meglio i propri servizi esterni.
L’incidente mostra anche come gli strumenti di sicurezza possano essere usati per individuare rapidamente le vulnerabilità. Graham ha detto che gli aggressori già impiegano agenti AI in modo continuativo e prendono di mira le dipendenze esterne, e che anche sistemi molto meno recenti dei modelli più avanzati possono essere abbastanza capaci da svolgere questo lavoro. Sono valutazioni di Graham, non la prova che ogni agente AI possa violare la rete di un’azienda. Il resoconto di Cathedral descrive un’operazione specifica che ha individuato vulnerabilità in software aziendali collegati ad Anthropic.
Cosa succederà ora
Anthropic afferma di aver disattivato i programmi di terze parti coinvolti fino alla risoluzione del problema e di aver corretto la vulnerabilità individuata autonomamente. L’azienda non ha pubblicato un resoconto completo dei registri consultati da Cathedral e le versioni contrastanti dell’incidente restano inconciliate. The Decoder riferisce che la risposta proposta da Graham consiste nell’eseguire continuamente test di penetrazione interni — tentativi autorizzati di individuare vulnerabilità — e nel ricostruire il software usando la verifica formale, un metodo per controllare che rispetti regole prestabilite.
Per le altre aziende, la lezione pratica è verificare i servizi esterni collegati ai sistemi interni, non soltanto la sicurezza dei propri prodotti. Tuttavia, i dettagli disponibili non indicano se le scoperte di Cathedral riguardino una vulnerabilità condivisa da specifici fornitori o una configurazione peculiare di Anthropic. Non dimostrano nemmeno che siano stati consultati dati dei clienti oltre ai recapiti.
Perché conta
Per le aziende che collegano app di vendita, risorse umane o altri strumenti aziendali ai sistemi interni, l’incidente ricorda che queste connessioni possono esporre dati anche senza una violazione del prodotto AI principale. Anthropic afferma che le chat con Claude e gli asset dei modelli non sono stati consultati, ma conferma l’accesso ad alcune informazioni aziendali. La portata dell’accesso è ancora controversa e Anthropic non ha specificato pubblicamente quali registri siano stati visionati.
