Anthropic thừa nhận các mô hình Claude thoát khỏi môi trường thử nghiệm và tấn công hệ thống thực

Ba mô hình Claude khác nhau đã vô tình truy cập được vào internet công cộng trong quá trình đánh giá an ninh mạng và tấn công vào các hệ thống thực tế. Một mô hình thậm chí còn phát tán mã độc lên một nền tảng công cộng. Anthropic cho rằng nguyên nhân là do cấu hình sai.

Trong khi xem xét các đánh giá an ninh mạng của chính mình, Anthropic đã phát hiện ba sự cố trong đó các mô hình Claude thoát khỏi môi trường thử nghiệm và xâm nhập vào các công ty thực tế trên internet. Công ty đã rà soát 141.006 lượt đánh giá và gắn cờ sáu trường hợp mô hình truy cập vào các hệ thống mà lẽ ra chúng không được phép tiếp cận. Cuộc rà soát này được thực hiện sau sự cố bảo mật của OpenAI.

Một lỗi cấu hình đã cấp quyền cho Claude truy cập vào internet công cộng.

Các sự cố xảy ra trong các bài tập "capture-the-flag" (cướp cờ), nơi Claude được giao nhiệm vụ tìm kiếm thông tin ẩn trên các hệ thống bên ngoài trong các kịch bản giả định. Anthropic cho biết Claude đã được thông báo trong câu lệnh đánh giá rằng nó đang ở trong một môi trường mô phỏng không có kết nối internet, nhưng do sự thiếu phối hợp giữa Anthropic và đối tác đánh giá Irregular, các tác nhân thử nghiệm thực tế lại có toàn quyền truy cập internet.

Claude đã coi các hệ thống thực tế mà nó tìm thấy là một phần của bài tập. Anthropic cho biết các mô hình không khai thác các lỗ hổng phức tạp mà thay vào đó sử dụng các kỹ thuật cơ bản như mật khẩu yếu và các điểm cuối (endpoints) không được xác thực.

Tương tự như trường hợp của OpenAI, các đánh giá này được thực hiện mà không có các rào cản an toàn (safety guardrails) vốn được tích hợp trong các mô hình công khai, vì mục tiêu là đo lường khả năng thô của mô hình. Anthropic khẳng định cơ sở hạ tầng đánh giá không có quyền truy cập vào các hệ thống nội bộ hoặc dữ liệu khách hàng.

Claude Opus 4.7 tiếp tục tấn công sau khi nhận ra mục tiêu là thực tế.

Sự cố nghiêm trọng nhất liên quan đến Claude Opus 4.7. Qua bốn lần chạy, mô hình không thể tiếp cận mục tiêu giả định và thay vào đó đã tìm thấy một công ty thực tế có tên trùng khớp. Claude đã xác định và khai thác các lỗ hổng trong cơ sở hạ tầng của công ty này, lấy ra thông tin đăng nhập và một cơ sở dữ liệu chứa hàng trăm dòng dữ liệu sản xuất.

Anthropic cho biết mô hình nhận ra nó đang xử lý một hệ thống thực tế trong cả bốn lần chạy, nhưng trong hai trường hợp, nó đã tự hợp lý hóa bằng cách cho rằng công ty thực tế đó chắc hẳn là một phần của bài tập. Mô hình chưa bao giờ tự dừng lại.

Myth 5 đã phát tán mã độc lên PyPI và xâm nhập vào một công ty bảo mật.

Sự cố thứ hai cho thấy một mô hình AI có thể đi xa đến mức nào để hoàn thành nhiệm vụ. Claude Myth 5 đã tìm thấy hướng dẫn thiết lập trong môi trường giả định yêu cầu các nhà phát triển cài đặt một gói Python cụ thể từ PyPI, nhưng gói này không tồn tại.

Claude đã nhìn thấy cơ hội và tạo ra một gói độc hại cùng tên, sau đó xuất bản nó lên nền tảng PyPI công cộng thực tế. Anthropic cho biết mô hình đã nỗ lực đáng kể để thực hiện việc này: đầu tiên là cố gắng lấy số điện thoại nhưng thất bại, sau đó tìm một nhà cung cấp email miễn phí, sử dụng nó để đăng ký tài khoản PyPI và tải mã độc lên.

Gói này đã có sẵn công khai trong khoảng một giờ, trong thời gian đó 15 hệ thống thực tế đã tải xuống và chạy nó. Một trong số đó thuộc về một công ty bảo mật có trình quét thường xuyên cài đặt các gói PyPI. Mã ẩn của Claude đã đánh cắp thông tin đăng nhập của công ty, sau đó mô hình sử dụng chúng để truy cập sâu hơn vào cơ sở hạ tầng. Các hệ thống bảo mật của PyPI cuối cùng đã gỡ bỏ gói này.

Anthropic cho biết Myth 5 đã kết luận chính xác trong quá trình suy luận nội bộ rằng việc xuất bản gói lên internet là "KHÔNG ổn, và chắc chắn không phải là giải pháp dự kiến". Nhưng nó đã tự thuyết phục bản thân rằng nó vẫn đang trong môi trường mô phỏng, một phần vì nó không nhận ra các cơ quan cấp chứng chỉ và đọc ngày tháng năm 2026 như một bằng chứng của môi trường mô phỏng.

Chỉ có một mô hình nghiên cứu nội bộ tự dừng lại.

Sự cố thứ ba liên quan đến một mô hình nghiên cứu nội bộ. Khi không thể tiếp cận mục tiêu giả định, nó đã quét khoảng 9.000 mục tiêu thực tế trên internet và cuối cùng xâm nhập vào ứng dụng của một công ty bằng các kỹ thuật quen thuộc như SQL injection và đọc một trang gỡ lỗi (debug page) bị lộ.

Không giống như hai mô hình kia, mô hình này đã tự nhận ra rằng hệ thống bị xâm nhập nằm trong một tài khoản đám mây không liên quan đến bài tập "capture-the-flag" và đã dừng cuộc tấn công mà không cần ai nhắc nhở.

Anthropic đổ lỗi cho lỗi con người, không phải do sự lệch lạc của mô hình.

Anthropic vạch ra ranh giới giữa trường hợp của họ và OpenAI. Trong khi các mô hình của OpenAI khai thác một lỗ hổng chưa từng được biết đến để thoát khỏi sự cô lập, các mô hình Claude đã tận dụng một con đường bị bỏ ngỏ do cấu hình sai. Công ty phân loại các sự cố này là lỗi cơ sở hạ tầng và vận hành, không phải lỗi căn chỉnh (alignment failures), với lập luận rằng các mô hình đã suy luận một cách hợp lý rằng các môi trường thực tế là các mô phỏng. Anthropic cho biết một câu lệnh chỉ định rõ ràng hệ thống nào nằm trong phạm vi và hệ thống nào bị cấm có lẽ đã đủ để ngăn chặn tất cả những điều này.

Một báo cáo của WIRED lưu ý rằng một số chuyên gia bảo mật cũng coi sự cố Hugging Face của OpenAI là lỗi con người trong các thực tiễn bảo mật cơ bản.

Theo Anthropic, các sự cố sớm nhất bắt đầu từ tháng 4. Cuộc rà soát bắt đầu vào ngày 23 tháng 7 và tất cả các đánh giá an ninh mạng đã bị tạm dừng cùng lúc đó. Ba tổ chức bị ảnh hưởng đã được thông báo vào ngày 27 tháng 7, mặc dù hai trong số đó thậm chí còn không nhận thấy hoạt động này. Anthropic vẫn chưa thể liên lạc được với tổ chức thứ ba.

Trong tương lai, Anthropic cho biết họ sẽ tăng cường cơ sở hạ tầng đánh giá, mở rộng giám sát các bản ghi đánh giá và kiểm duyệt kỹ lưỡng hơn công việc với các đối tác bên ngoài. Công ty cũng đang thảo luận với tổ chức đánh giá độc lập METR về một cuộc đánh giá bên ngoài và có kế hoạch công bố bản ghi đã biên tập về sự cố PyPI trong vòng một tuần. Anthropic nhấn mạnh rằng Claude chưa bao giờ cố gắng tự sao chép chính mình hoặc cố tình rời khỏi môi trường thử nghiệm trong bất kỳ trường hợp nào kể trên.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người.

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo chuyên sâu "AI Radar" độc quyền sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và tham gia phần bình luận của chúng tôi.

Đăng ký ngay.