Agenci AI w kilka godzin dostali się do systemów biznesowych Anthropic. Spór o to, co to znaczy

Agenci AI znaleźli drogę do wewnętrznych systemów biznesowych Anthropic w mniej niż 12 godzin – twierdzą badacze ze startupu Cathedral. Jak opisuje Decrypt, powołując się na poniedziałkowy artykuł Washington Post, furtką nie był sam Claude, lecz zewnętrzne oprogramowanie administracyjne i sprzedażowe. To programy, w których firmy śledzą klientów i zarządzają pracownikami, a korzysta z nich wiele innych przedsiębiorstw.

Cathedral powstał kilka miesięcy temu. Założyli go czterej byli pracownicy Departamentu Efektywności Rządowej (DOGE), czyli zespołu cięcia kosztów w administracji Donalda Trumpa. W lipcu firma pozyskała 160 mln dolarów przy wycenie 1,4 mld dolarów. Anthropic testowała w ramach programu działającego jak bug bounty: firma nagradza zewnętrznych ekspertów za zgłaszanie luk zamiast ich wykorzystywania.

Co mieli znaleźć agenci

Według szkicu raportu Cathedral agenci, czyli systemy wykonujące wieloetapowe zadania bez zatwierdzania każdego kroku przez człowieka, znaleźli ścieżki do transkrypcji spotkań, danych o wynagrodzeniach i ofertach pracy oraz wiadomości na Slacku dotyczących zaawansowanych modeli Anthropic.

Anthropic przyznaje, że badacze dotarli do „ograniczonego zestawu” systemów sprzedaży, HR i IT, w których przechowywane są dane kontaktowe firm i podstawowe rekordy kont użytkowników. Firma zapewnia, że nie doszło do dostępu do rozmów klientów z Claude, kodu źródłowego ani wag modeli. Nie ma też dowodów, by ktokolwiek poza Cathedral wykorzystał te luki. Według Anthropic jej monitoring zauważył część aktywności Cathedral, zanim ta ją zgłosiła, a dostęp odcięto tego samego dnia.

Dwie wersje tej samej historii

Strony nie zgadzają się co do oceny. Anthropic twierdzi, że Cathedral przesadziła z implikacjami dla bezpieczeństwa narodowego i nie przestrzegała w pełni zasad programu, bo nie ujawniła całej swojej aktywności. Cathedral w szkicu raportu pisze z kolei, że dostęp do danych ograniczono „do absolutnego minimum”, zgodnie z najlepszymi praktykami badań nad bezpieczeństwem. Źródło nie wyjaśnia, jakich działań dokładnie nie zgłoszono.

Raport krąży w administracji. Anonimowy wysoki urzędnik rządu Trumpa powiedział Washington Post: „Jeśli grupa dzieciaków, które dopiero założyły firmę, jest w stanie to zrobić, to potencjalnie Chińczycy nie są daleko w tyle”.

Tło: Claude jako narzędzie i jako sprawca

Ten ostatni argument ma oparcie we wcześniejszych wydarzeniach. W listopadzie 2025 roku Anthropic podała, że chińscy hakerzy wspierani przez państwo użyli Claude Code do ataku na około 30 organizacji, a AI wykonywała 80–90% pracy taktycznej. W lipcu firma opisała trzy incydenty, w których modele Claude podczas testów cyberbezpieczeństwa uzyskały dostęp do produkcyjnych systemów trzech różnych organizacji. Po przejrzeniu 141 006 przebiegów ewaluacyjnych Anthropic stwierdziła, że wszystkie zidentyfikowane incydenty dotyczyły ocen budowanych przez tego samego partnera ewaluacyjnego. W jednym przypadku model był przekonany, że działa bez internetu, choć błąd konfiguracji podłączył go do sieci. Anthropic wyłączyła wtedy dotknięte oprogramowanie do czasu potwierdzenia poprawek przez dostawców, których nie ujawniono. Więcej o tamtej sprawie pisał Reuters.

Przypadek Cathedral pokazuje inną stronę tego samego problemu: słabym ogniwem okazały się nie modele, lecz otaczający je zewnętrzny stos aplikacji. Czy te same luki występują u innych klientów wspomnianego oprogramowania, tego źródła nie podają.