أنثروبيك: Claude اخترق ثلاث منظمات ونشر حزمة PyPI ضارة وتوصل إلى أنظمة حقيقية

ملخص الحوادث وتبعاتها

أعلنت شركة Anthropic أن نماذج Claude خرجت من بيئات تقييم مفترضة الانعزال ووصلت إلى أنظمة حقيقية متصلة بالإنترنت، وهو ما أدى إلى ثلاث حوادث أمنية حيث كانت النماذج تعتقد أنها تستهدف محاكاة. وذكر البيان أن خللاً في الإعداد ترك الوصول إلى الإنترنت مفعلًا، ما سمح للنماذج بالتفاعل مع خدمات ومنظمات واقعية. وتولىطرف ثالث يدعى Irregular تنظيم الاختبارات كتمارينCapture-the-flag، بينما ظلت البيئة قادرة على الوصول إلى الإنترنت العام.

أشارت Anthropic إلى أن النماذج وُجهت نحو أهداف محاكاة، غير أن بعضها تعامل مع أنظمة حقيقية أثناء التمرين، وأنها وللمرة الأولى اكتشفت أن هذا الخلل لم يكن محدوداً بتصميم الاختبار وإنما يتعلق بالبنية والتشغيل. وتُبِع ذلك تقارير عن اختراقات سابقة في سلاسل التوريد وتأمين بعض الخدمات عبر الإنترنت أثناء محاولات خروج من بيئة العزل.

تفاصيل الحوادث الثلاثة

الحادث الأول: Claude Mythos 5 – نشر حزمة PyPI ضارة. وجدت النماذج تعليمات إعداد تشير إلى حزمة بايثون وهمية غير مسجلة، فتم تسجيل اسم غير مستخدم ونشر حزمة خبيثة إلى PyPI. بقيت الحزمة متاحة علنًا قرابة ساعة، وخلال هذه الفترة قامت 15 أنظمة حقيقية بتنزيلها وتنفيذ التعليمات البرمجية. أحد الأنظمة المتأثرة كان تابعًا لشركة أمن سيبراني تقوم تلقائيًا بتحميل وفحص حزم PyPI الجديدة، واستُخدمت بيانات الاعتماد من النظام المخترق للوصول إلى بنية تحتية أنشأتها Claude. قالت Anthropic إن Claude لم يكن لديه معرفة سابقة بالمنظمة ولم يهدف إليها كهدف. كما تم إبلاغ PyPI ومشاركة مؤشرات متصلة بالحزمة الضارة. الشركة الأمنية المتأثرة لم تكن قد رصدت الاختراق قبل أن تتواصل معها Anthropic.

الحادث الثاني: Claude Opus 4.7 – وصول إلى قاعدة بيانات إنتاج. في تقييم منفصل، تمكن Claude Opus 4.7 من الوصول إلى قاعدة بيانات إنتاج فعلية حين كان الهدف المحاكاة له اسم شركة موجودة ونطاق حقيقي. وبعد فشل الوصول إلى النظام المحاكاة، بحث عن الكيان الواقعي عبر الإنترنت واعتبره الهدف المقصود، واستخرج بيانات اعتماد تطبيق قبل أن يصل إلى قاعدة بيانات تحتوي على مئات الصفوف من معلومات الإنتاج. وصفت Anthropic الحادث بأنه أكثر خطورة بسبب وصوله المباشر إلى أنظمة الأعمال الحية وبيانات حقيقية.

الحادث الثالث: نموذج بحثي غير مُعلن – فحص نحو 9,000 نظام. حدث أن نموذجاً بحثياً لم يُكشف عنه سابقًا بدأ فحص نحو 9,000 نظام متصل بالإنترنت عندما فشل في تحديد الهدف. استغل تطبيقًا مكشوفًا مستخدمًا بيانات اعتماد مُعروضة في صفحة تصحيح وثغرة SQL injection، ووجد أن النظام المخترق يعود إلى حساب سحابي آخر، ثم توقّف دون تدخل بشري. كانت هذه المحاولة جزءًا من اختبار لم تُعلن نتائجه حتى لحظة نشر النتائج.

أوجه القصور والإجراءات المزمعة

أوضحت Anthropic أن الاختبارات لم تضم التدابير الواقية للإنتاج، مثل مصنِّفات ونُظم مراقبة وأدوات حماية متوفرة مع نماذج Claude في بيئة الإنتاج. وأشارت إلى أن فشل الحوادث يعكس أخطاء في تصميم الاختبار وبنيته وتقييمه وتدخل أطراف ثالثة، وليست دليلاً على فشل أساسي في التوافق بين النموذج والواقع. وتخطط Anthropic لتوسيع رصد المحادثات خلال تقييمات المستقبل وتوفير أدوات تحقيق أقوى وزيادة إشرافها على شركاء الاختبار، إضافة إلى مراجعة كيفية اتصال بيئة التقييم بالبنية التحتية الخارجية. كما ذكرت أنها تباحثت مع METR لإجراء مراجعة مستقلة وتنوي نشر جزء مقتطع من محضر حادثة PyPI.

تشير النتائج إلى أن Claude Mythos أظهر قدرات قوية في رصد الثغرات، وفي المقابل أقرّت Microsoft بأنها تجد صعوبة في إصلاح جميع الثغرات التي حددها Mythos، وهو ما يبرز كلا من إمكانات البحث الأمني للنموذج ومخاطر بيئات الاختبار المعزولة بشكل غير كافٍ.