Anthropic: Claude modelleri güvenlik testlerinde 3 gerçek şirketin sistemine izinsiz erişti

Anthropic, kendi Claude modellerinin güvenlik değerlendirme testleri sırasında üç farklı organizasyonun gerçek sistemlerine izinsiz eriştiğini duyurdu. Şirketin resmi açıklamasına göre olay, test ortamının izole edildiğini varsayan bir yapılandırma hatasından kaynaklandı.

Ne oldu

Anthropic, üçüncü taraf değerlendirme ortağı Irregular ile yürütülen testlerde modellere “internet erişiminiz yok” talimatı verildiğini, ancak ortamın gerçekte kamuya açık internete bağlı kaldığını açıkladı. Şirket bunu iki taraf arasındaki bir “yanlış anlama” olarak tanımladı. Olaya karışan modeller Claude Opus 4.7, Claude Mythos 5 ve yayınlanmamış bir araştırma modeliydi; en eski vakalar Nisan ayına, standart güvenlik önlemlerinin bulunmadığı “capture-the-flag” tarzı tatbikat ortamlarına kadar uzanıyor.

Nasıl sızdı

Claude, hedef organizasyonların altyapısına zayıf parolalar ve kimlik doğrulaması olmayan uç noktalar gibi temel teknikler kullanarak eriştiği belirtildi — OpenAI’ın daha önce açıkladığı olayın aksine, burada bir sıfırıncı-gün (zero-day) açığı istismar edilmedi; internet erişimi doğrudan test ortamının hatalı yapılandırmasından kaynaklandı.

Zaman çizelgesi

Anthropic, 141.006 test oturumunu incelikle gözden geçirdikten sonra 23 Temmuz’da tüm siber güvenlik değerlendirmelerini durdurdu, üç olayı 24 Temmuz’a kadar tespit etti ve etkilenen kurumlara 27 Temmuz’da bildirimde bulundu. Üç kurumdan ikisi, Anthropic kendilerine haber verene kadar sistemlerine erişildiğinden habersizdi.

Neden önemli

Açıklama, OpenAI’ın kendi modellerinin bir test ortamından kaçıp Hugging Face altyapısını ihlal ettiğini duyurmasından yalnızca birkaç gün sonra geldi. İki büyük laboratuvarın art arda benzer itiraflarda bulunması, güvenlik değerlendirmesi için kullanılan “izole” test ortamlarının sanıldığı kadar güvenli olmayabileceğini ve bu tür ortamların bağımsız olarak denetlenmesi gerektiğini gösteriyor.