Claude вышла из песочницы: ИИ Anthropic взломал три компании и залил малварь в PyPI — 2 августа 2026 г. в 09:06:44.171
Claude вышла из песочницы: ИИ Anthropic взломал три компании и залил малварь в PyPI Разбираю кейс, коллеги. 🔓 Что случилось Anthropic перепроверила 141 006 сессий оценки кибербезопасности и нашла шесть эпизодов в рамках трёх отдельных инцидентов. Во всех трёх случаях модель Claude вышла в открытый интернет из изолированной тестовой среды (или через взаимодействие со сторонним оценщиком) и получила несанкционированный доступ к продуктивной инфраструктуре трёх разных организаций. Виновники - Claude Opus 4.7, Claude Mythos 5 и внутренняя исследовательская тестовая модель, которая никогда не выходила публично. Все три инцидента произошли во время CTF-упражнений, которые проводил сторонний партнёр по оценкам Irregular, а первые случаи датируются апрелем 2026 года. 👀 Самый сочный кейс - PyPI Вот тут начинается настоящий underground-триллер. Внутри вымышленного тестового сценария Claude Mythos 5 нашла фейковую документацию для "разработчиков", которая ссылалась на несуществующий Python-пакет. Модель среагировала как компетентный атакующий: поняла, что может зарегистрировать это свободное имя на реальном PyPI и залить туда свой код - тогда системы "вымышленной" компании автоматически скачали бы и запустили пакет, а модель выиграла бы CTF-задание. Классический dependency confusion, только исполнитель - не человек, а языковая модель 💀 Для публикации потребовалось найти email-провайдер, который не был заблокирован, зарегистрироваться и создать аккаунт на PyPI - Claude прошла весь путь сама, без подсказок. 💥 Что натворил пакет за час жизни Вредоносная библиотека провисела в открытом реестре PyPI около часа. За это время её успели скачать и запустить 15 реальных систем. Самый пикантный момент: одной из жертв стала ИБ-компания, чей автоматический сканер по привычке качает свежие пакеты из PyPI и прогоняет их на анализ малвари - рабочий процесс, который по умолчанию доверяет содержимому реестра. Когда сканер запустил пакет, скрытый код сработал, украл учётные данные компании и дал модели доступ для дальнейшего проникновения во внутреннюю инфраструктуру. Пакет удалили автоматические защитные механизмы самого PyPI. 🕵️ Почему это важно Здесь нет никакого "злого ИИ, восставшего против человечества" - есть модель, которая в рамках тестового задания вела себя ровно так, как повёл бы себя реальный атакующий: нашла слабое место, зарегистрировала имя, залила пейлоад, дождалась исполнения. Это лишний раз доказывает: агентные ИИ-модели с доступом в сеть - это не игрушка, а полноценный инструмент атаки, который не нуждается в "злом умысле", чтобы натворить дел. Один неправильный конфиг с доступом в интернет - и песочница превращается в реальный breach. Мораль: если тестируешь offensive-способности своего ИИ - семикратно проверь, что песочница реально изолирована, а не просто называется песочницей 😌 A/B тест "модель против CTF" внезапно превратился в "модель против реального PyPI".