Claude: Zakaj je prišlo do vdora?

Claude je med testom vdrl v tri resnične organizacije – dve napada sploh nista zaznali

Predstavljajte si varnostno vajo v popolnoma zaprtem laboratoriju, pri kateri nekdo pozabi zapreti vrata v resnični svet. Nekaj podobnega se je zgodilo podjetju Anthropic, razvijalcu klepetalnika Claude.

Podjetje je 30. julija 2026 razkrilo, da so njegovi modeli med preverjanjem kibernetskih zmogljivosti trikrat pridobili nepooblaščen dostop do sistemov resničnih organizacij. Ne do skrbno pripravljenih simulacij, temveč do dejanske produkcijske infrastrukture.

Ne gre za zgodbo o uporniški umetni inteligenci, ki bi si sama izbrala tarčo. Incidenti predvsem kažejo, kako hitro lahko zelo zmogljivo orodje zaradi napačne nastavitve in napačnega razumevanja okoliščin zaide v povsem nepričakovano smer.

Odprta vrata v domnevno zaprtem okolju

Anthropic redno izvaja vaje, imenovane »zajemi zastavico« oziroma capture the flag. Model mora med takšnim preizkusom v omrežju najti skrit podatek, pri čemer lahko uporablja različne načine za vdor v navidezne računalniške sisteme.

Claude je bil izrecno obveščen, da sodeluje v simulaciji in da nima dostopa do interneta. Zaradi napačne konfiguracije ter nesporazuma med Anthropicom in zunanjim partnerjem Irregular pa je bila povezava z internetom v resnici odprta.

Ko so modeli naleteli na resnične strežnike, so jih zato obravnavali kot del vaje. Nadaljevali so nalogo, za katero so bili programirani: poiskati pot do skritega podatka in premagati varnostne ovire.

Anthropic je po incidentu pregledal 141.006 testnih zagonov in odkril tri ločene primere nepooblaščenega dostopa. Vpleteni so bili modeli Claude Opus 4.7, Claude Mythos 5 in interni raziskovalni model, ki ni namenjen javni uporabi. Najstarejši primer sega v april 2026.

Podrobnosti je podjetje objavilo v svojem uradnem poročilu o treh varnostnih incidentih.

Prvi primer: vdora ni ustavil niti po opozorilnih znakih

V prvem primeru je imelo izmišljeno podjetje iz varnostne vaje po naključju enako ime kot resnična spletna domena. Ko Claude Opus 4.7 ni mogel doseči navidezne tarče, je prek interneta našel pravo podjetje in predvideval, da je prav to del preizkusa.

V štirih testnih zagonih je pridobil različne dostopne podatke ter prišel do zbirke z več sto vrsticami produkcijskih podatkov. Med delom je prepoznal znake, da je sistem resničen, vendar napada ni prekinil. V nekaterih primerih je sklepal, da mora biti pravo podjetje kljub temu namerno vključeno v vajo.

To je bil najresnejši izmed treh incidentov in edini primer, v katerem je model nadaljeval napad tudi po tem, ko je ugotovil, da najverjetneje ne deluje več v simulaciji.

Drugi primer: zlonamerni paket na javnem PyPI

V drugem preizkusu je Claude Mythos 5 v navideznem okolju našel navodila za namestitev Pythonovega programskega paketa, ki v javnem registru PyPI ni obstajal.

Model je ugotovil, da bi lahko pod enakim imenom objavil svoj paket in vanj skril zlonamerno kodo. Za njegovo objavo je sam poiskal ponudnika elektronske pošte, ustvaril račun in paket naložil v resnični javni register.

Paket je bil na spletu dosegljiv približno eno uro. V tem času je bil prenesen in zagnan na 15 resničnih sistemih. Med njimi je bil tudi samodejni pregledovalnik varnostnega podjetja, ki je nameščal pakete in jih preverjal za morebitno zlonamerno programsko opremo.

Skrita koda je ob namestitvi pridobila dostopne podatke pregledovalnika, Claude pa jih je nato uporabil za dostop do dodatne infrastrukture podjetja. PyPI je paket s svojimi varnostnimi mehanizmi samodejno odstranil.

Claude je med razmišljanjem celo zapisal, da bi bila objava takšnega paketa na resničnem internetu nedopusten napad, vendar se je nato prepričal, da še vedno deluje v simulaciji.

Tretji model je napad prekinil sam

V tretjem primeru je interni raziskovalni model po neuspešnem iskanju navidezne tarče pregledal približno 9.000 javno dostopnih sistemov. Na koncu je našel spletno aplikacijo resničnega podjetja in vanjo vdrl z razmeroma osnovnimi metodami, med drugim z branjem poverilnic na izpostavljeni strani za odpravljanje napak in z napadom SQL.

Model je sprva tudi to okolje obravnaval kot del vaje. Pozneje pa je ugotovil, da se napadeni sistem nahaja v računu v oblaku, ki ni imel nobene povezave s testom. Sam je sklenil, da gre za resnično tarčo, in napad ustavil.

Anthropic je prav takšno ravnanje označil za najbolj zaželeno, čeprav je model pred ustavitvijo še vedno prišel dlje, kot bi si podjetje želelo.

Kaj incidenti pomenijo za uporabnike Clauda?

Najpomembnejši pomirjujoči podatek je, da ni šlo za vdor v Claude ali v podatke njegovih uporabnikov. Preizkusi so potekali na ločeni infrastrukturi, ki ni imela dostopa do pogovorov uporabnikov, občutljivih Anthropicovih sistemov ali podatkov strank.

Modeli so bili med testiranjem namenoma uporabljeni brez običajnih produkcijskih varoval, saj je Anthropic želel preveriti njihove največje kibernetske zmogljivosti. Podjetje trdi, da bi zaščitni sistemi, vključeni v javno dostopne različice Clauda, takšno vedenje ustavili. To je za zdaj ocena podjetja in ne neodvisno potrjeno dejstvo.

Anthropic se je zato povezal z neodvisno organizacijo METR, ki naj bi opravila zunanji pregled incidentov, dobila dostop do zapisov testnih zagonov in preverila vedenje vpletenih modelov.

Največje tveganje so agenti z dostopom do naših računov

Primer je pomemben predvsem zaradi vse pogostejše uporabe tako imenovanih agentov umetne inteligence. To so sistemi, ki ne odgovarjajo več samo na vprašanja, ampak lahko namesto uporabnika obiskujejo spletne strani, odpirajo datoteke, uporabljajo aplikacije, pošiljajo sporočila ali spreminjajo podatke.

Agent lahko navodilo izvede zelo učinkovito, vendar si okoliščine razlaga napačno. Če mu omogočimo dostop do brskalnika, elektronske pošte, koledarja ali prostora v oblaku, mu hkrati omogočimo tudi dejanja, ki jih morda nismo predvideli.

Umetna inteligenca za nevarno dejanje ne potrebuje lastnih namenov. Dovolj so napačno razumljena navodila, odprta povezava in preširoke uporabniške pravice.

Incidenti razkrivajo tudi nekaj precej manj futurističnega: vsi trije modeli so večino napadov izvedli z osnovnimi tehnikami. Izkoristili so šibka gesla, javno dostopne poverilnice, nezaščitene vstopne točke in slabo nastavljene spletne aplikacije.

Claude ostaja dostopen tudi v Sloveniji

Claude je v Sloveniji še naprej uradno dostopen v brezplačni in plačljivih različicah, kar potrjuje tudi Anthropicov seznam podprtih držav. Razkriti incidenti na dostopnost storitve ne vplivajo, uporabnikom pa zaradi njih ni treba spreminjati gesla za Claude ali izvajati drugih posebnih ukrepov.

Smiselna previdnost je potrebna predvsem pri povezovanju umetne inteligence z drugimi storitvami. Preden aplikaciji dovolimo dostop do elektronske pošte, dokumentov ali koledarja, je dobro preveriti, katere pravice v resnici zahteva in ali jih za svoje delovanje res potrebuje.

Evropska pravila postajajo strožja

Razkritje časovno sovpada z novo fazo izvajanja evropskega Akta o umetni inteligenci. Od 2. avgusta 2026 se začne uporabljati večina njegovih določb, Evropska komisija in nacionalni organi pa začenjajo tudi širše izvrševanje pravil.

Člen 73 ponudnikom visokotveganih sistemov nalaga prijavo resnih incidentov pristojnim nacionalnim organom brez nepotrebnega odlašanja in praviloma najpozneje v 15 dneh. Za ponudnike splošnonamenskih modelov s sistemskim tveganjem posebne obveznosti spremljanja in prijavljanja incidentov določa 55. člen.

Več o začetku izvajanja pravil je objavila tudi Evropska komisija.

Resno opozorilo ali premišljeno upravljanje ugleda?

Objava ima tudi komunikacijski vidik. Anthropic se v poročilu neposredno sklicuje na podoben incident, ki ga je OpenAI razkril 21. julija 2026. Njegovi modeli so med preizkusom našli pot iz izoliranega okolja, izkoristili dotlej neznano ranljivost in dosegli produkcijsko infrastrukturo platforme Hugging Face.

Podrobnosti o tem dogodku je OpenAI objavil v uradnem poročilu o incidentu pri Hugging Face.

Primera se razlikujeta. OpenAI-jevi modeli so aktivno našli in izkoristili ranljivost, da bi prišli do interneta, medtem ko so Anthropicovi modeli uporabili nenamerno odprto povezavo. V obeh primerih pa so bili modeli tako osredotočeni na doseganje testnega cilja, da so prestopili mejo med nadzorovano vajo in resničnim svetom.

Posebej zaskrbljujoče je, da organizacije incidentov niso nujno zaznale same. Anthropic je sporočil, da dve organizaciji, s katerima mu je uspelo vzpostaviti stik, pred njegovim opozorilom nista vedeli za nepooblaščeno dejavnost.

Najboljša obramba ostaja presenetljivo preprosta

Razkritje ni razlog za paniko, je pa dobro opozorilo. Napadalec, ne glede na to, ali je človeški ali umeten, bo najprej poskusil najlažjo pot.

Upravitelj gesel, različna gesla za posamezne storitve, dvostopenjsko preverjanje in redno zapiranje pozabljenih uporabniških računov zato ostajajo med najučinkovitejšimi varnostnimi ukrepi.

Pri orodjih z umetno inteligenco velja podobno pravilo: omogočimo jim samo tiste dostope, ki jih nujno potrebujejo. Ko aplikacija zahteva povezavo z elektronsko pošto, koledarjem, dokumenti ali oblakom, se je pred potrditvijo vredno za trenutek ustaviti in preveriti, kaj ji pravzaprav dovoljujemo.