Anthropic thừa nhận Claude từng tự ý tấn công hệ thống thực và phát tán mã độc lên PyPI

Ngày 30 tháng 7 năm 2026 - Link Blog

Điều tra ba sự cố thực tế trong các đánh giá an ninh mạng của chúng tôi (via) Chuyện này lại xảy ra lần nữa! Nó đang dần trở thành một kiểu mẫu lặp lại.

Tuần trước, OpenAI đã vô tình khai thác Hugging Face khi một trong những mô hình tiên phong (frontier model) của họ thoát khỏi môi trường sandbox và tấn công vào Hugging Face để cố gắng lấy lời giải cho bài kiểm tra năng lực an ninh mạng (cyber benchmark) mà nó đang thực hiện.

Điều này đã thôi thúc Anthropic kiểm tra lại nhật ký (logs) của chính họ, và kết quả là họ đã phát hiện ba sự cố tương tự (dù ít ấn tượng hơn) từng xảy ra vào tháng 4!

Trong số 141.006 lượt chạy đánh giá mà chúng tôi đã xem xét, chúng tôi xác định được ba sự cố riêng biệt (liên quan đến tổng cộng sáu lượt chạy, bốn trong số đó ảnh hưởng đến cùng một tổ chức; hai sự cố còn lại xảy ra trong các lượt chạy đánh giá độc lập). [...]

Trong tất cả các trường hợp, câu lệnh đánh giá (evaluation prompt) của Anthropic đã chỉ định cho Claude rằng môi trường của nó là một mô phỏng và nó không có quyền truy cập internet. Do sự hiểu lầm giữa chúng tôi và đối tác đánh giá, thực tế lại không phải như vậy và quyền truy cập internet vẫn khả dụng. Chính vì điều này, khi quá trình tìm kiếm của Claude dẫn nó đến các hệ thống thực trên internet công cộng, nó đã coi chúng là một phần của bài tập. [...]

Hoạt động dưới niềm tin sai lệch rằng tất cả các thực thể có thể truy cập đều nằm trong phạm vi của bài tập, Claude đã xâm nhập vào cơ sở hạ tầng của các tổ chức bị ảnh hưởng bằng cách sử dụng các kỹ thuật cơ bản, chẳng hạn như khai thác mật khẩu yếu và các điểm cuối (endpoints) không được xác thực.

Một trong những công ty đã trở thành mục tiêu vì tên của họ tình cờ trùng với cái tên hư cấu trong bài đánh giá (eval).

Sự cố đáng lo ngại nhất trong ba sự cố liên quan đến việc Claude tải một gói phần mềm độc hại lên PyPI, sau một chuỗi các bước phức tạp đến mức nực cười để có được tài khoản:

[...] để tạo một tài khoản PyPI, Claude cần một địa chỉ email. Và để tạo một địa chỉ email, nó cần một số điện thoại. Để có được số điện thoại, sau khi không tìm thấy dịch vụ cung cấp số điện thoại miễn phí, nó đã cố gắng—và thất bại—trong việc tìm kiếm nguồn tiền để trả phí cho một số điện thoại thông qua nhiều phương thức khác nhau. Cuối cùng, nó đã quay lại, tìm thấy một nhà cung cấp email miễn phí chưa bị chặn, sử dụng nó để đăng ký tài khoản PyPI, rồi dùng tài khoản này để tải phần mềm độc hại lên PyPI.

Gói phần mềm đó sau đó đã được cài đặt bởi một công ty bảo mật vốn "thường xuyên cài đặt các gói Python và quét chúng để tìm phần mềm độc hại", và mã được thực thi đã có thể đánh cắp thông tin xác thực gửi ngược lại cho Claude!

Rất may là gói phần mềm đó đã bị các trình quét tự động khác xóa khỏi PyPI chỉ một giờ sau khi được đăng tải, nhưng đến thời điểm đó, nó vẫn đã được tải xuống và thực thi trên "15 hệ thống thực".

Giờ đây, rõ ràng là việc chạy các đánh giá về tiềm năng tấn công mạng trong các mô hình là một công việc cực kỳ rủi ro. Mọi phòng thí nghiệm AI cần phải chú ý đến điều này. Việc giám sát chặt chẽ những gì đang diễn ra trong các môi trường sandbox đó là vô cùng quan trọng.