Стартап в сфере кибербезопасности Cathedral утверждает, что запущенные им ИИ-агенты нашли способ проникнуть во внутренние бизнес-системы Anthropic через стороннее ПО. Anthropic подтвердила, что исследователи получили доступ к ограниченному набору систем продаж, кадрового отдела и ИТ, включая контактные данные некоторых клиентов и партнёров, а также базовую информацию об учётных записях.
По словам Anthropic, в результате утечки не были раскрыты переписки с Claude, исходный код или веса моделей. В день обнаружения инцидента компания закрыла затронутые точки доступа, отключила сторонние программы, пока разбиралась с проблемой, и уведомила федеральные власти США. Anthropic публично не уточнила, какие именно записи просмотрели исследователи и сколько человек затронул инцидент.
Cathedral продаёт компаниям и государственным ведомствам инструменты безопасности на базе ИИ. В черновике отчёта, с которым ознакомилась The Washington Post, исследователи компании утверждают, что менее чем за 12 часов их агенты получили доступ к материалам, в том числе расшифровкам встреч, данным о зарплатах, вакансиям и сообщениям в Slack. Эти утверждения расходятся с более сдержанным описанием Anthropic; стороны по-разному оценивают продолжительность и масштаб инцидента.
В чём расходятся версии сторон
Cathedral утверждает, что инцидент занял менее 12 часов. Anthropic говорит, что вся операция длилась несколько дней: по словам специалиста команды Red Team компании Логана Грэма, исследователи несколько дней изучали системы Anthropic, прежде чем переключиться на стороннее ПО. Anthropic утверждает, что Cathedral обнаружила там две уязвимости, но сообщила только об одной; вторую компания нашла и устранила самостоятельно.
Anthropic также заявляет, что действия Cathedral нарушили правила программы поиска уязвимостей, в рамках которой исследователи получают вознаграждение или признание за сообщения о проблемах безопасности. Грэм сказал, что атака на сторонних поставщиков и извлечение данных выходили за рамки защиты, предусмотренной программой для исследователей. Cathedral настаивает, что действовала в соответствии со стандартной практикой исследований безопасности. Грэм положительно оценил обнаружение уязвимостей, но отказался подробнее рассказывать о том, к чему был получен доступ, сославшись на чувствительность ситуации.
Наиболее широкие утверждения остаются спорными. Бывший сотрудник OpenAI Уилл Депью сказал, что источники, которым он доверяет, сообщили ему о полном административном доступе Cathedral к рабочему пространству Anthropic в Slack: якобы компания могла читать все сообщения и входить в систему от имени любого пользователя. Грэм заявил, что источники Депью ошибаются. Anthropic не опубликовала подробный отчёт, который разрешил бы это противоречие, поэтому эти утверждения нельзя считать подтверждёнными фактами.
Как развивались события
Как сообщается, точкой входа стало не приложение Claude, а внешнее ПО для продаж и администрирования, связанное с Anthropic. Это различие важно: компания утверждает, что её ИИ-чаты и активы моделей не пострадали, хотя инцидент всё же затронул некоторые бизнес-системы и данные. Руководитель направления безопасности компании Cognition, занимающейся ИИ, Алекс Стамос заявил The Washington Post, что интегрированные сторонние приложения представляют серьёзную проблему для всей отрасли, а Anthropic могла лучше защитить свои внешние сервисы.
Инцидент также показывает, как инструменты тестирования безопасности помогают быстро находить слабые места. Грэм сказал, что злоумышленники уже постоянно запускают ИИ-агентов и атакуют внешние зависимости, а для такой работы могут быть пригодны даже системы, значительно уступающие новейшим моделям. Это оценка Грэма, а не доказательство того, что любой ИИ-агент способен проникнуть в корпоративную сеть. Описание Cathedral касается конкретной операции, в ходе которой были найдены уязвимости в связанном с компанией бизнес-ПО.
Что будет дальше
Anthropic заявляет, что отключила затронутые сторонние программы до устранения проблемы и исправила уязвимость, которую обнаружила самостоятельно. Компания не опубликовала полный отчёт о записях, к которым получила доступ Cathedral, а версии сторон о масштабах утечки остаются противоречивыми. Как сообщает The Decoder, Грэм предлагает регулярно проводить внутреннее тестирование на проникновение — санкционированные попытки найти уязвимости — и перестраивать ПО с применением формальной верификации, то есть метода проверки соответствия программы заданным правилам.
Другим компаниям стоит проверить не только безопасность собственных продуктов, но и внешние сервисы, подключённые к внутренним системам. Однако доступные сведения не позволяют понять, указывают ли результаты Cathedral на уязвимость конкретных поставщиков или на конфигурацию, характерную только для Anthropic. Они также не подтверждают, что был получен доступ к каким-либо данным клиентов помимо контактной информации.
Почему это важно
Для компаний, подключающих к внутренним системам приложения для продаж, кадрового учёта и другие бизнес-сервисы, этот инцидент служит напоминанием: такие подключения могут привести к утечке данных, даже если основное ИИ-приложение не взломано. Anthropic утверждает, что переписки с Claude и активы моделей не пострадали, но подтверждает доступ к части деловой информации. Масштаб доступа остаётся спорным, а компания не уточнила публично, какие именно записи просматривали исследователи.
