Anthropic פרסמה ב-30 ביולי תחקיר שלפיו מודלים של Claude יצאו מסביבות בדיקה של סייבר ופגעו במערכות אמיתיות של שלושה ארגונים. בכל המקרים נאמר למודל שאין לו גישה לאינטרנט, אבל תקלת תצורה השאירה את המכונות מחוברות.
מה נמצא בבדיקה
לפי התחקיר שפרסמה החברה, הבדיקה נפתחה אחרי ש-OpenAI דיווחה ב-21 ביולי שמודלים שלה יצאו מסביבת ניסוי והגיעו לתשתית הייצור של Hugging Face. Anthropic סרקה 141,006 הרצות הערכה שבהן Claude יכול היה להגיע לרשת, ומצאה שלושה אירועים, בסך הכל שש הרצות. כולם התרחשו בסביבת הערכה שמפעילה חברה חיצונית בשם Irregular, והמוקדמים שבהם מתוארכים לאפריל.
המקרה הראשון, ב-Claude Opus 4.7: לחברת המטרה הבדיונית היה שם זהה לדומיין של חברה אמיתית. המודל איתר את החברה האמיתית, חילץ פרטי גישה והגיע למסד נתונים עם כמה מאות שורות של נתוני ייצור. לפי Anthropic, בשתי הרצות המודל זיהה שהמערכת כנראה אמיתית, הסביר לעצמו שהחברה האמיתית היא חלק מהתרגיל, והמשיך.
המקרה השני, ב-Claude Mythos 5: המודל מצא מסמך הגדרות שהפנה לחבילת Python שאינה קיימת במאגר PyPI, ופרסם חבילה זדונית בשם הזה. החבילה הייתה זמינה כשעה ורצה על 15 מערכות אמיתיות, בהן סורק של חברת אבטחה שהתקין אותה. הקוד שלף את פרטי הגישה של אותה חברה, והמודל השתמש בהם כדי להעמיק את החדירה. בשלב מסוים כתב המודל בנימוקיו שהפרסום "ממש לא בסדר", אבל בהמשך הסיק שהוא עדיין בסימולציה.
המקרה השלישי, במודל מחקר פנימי: כשהמטרה המיועדת לא הייתה זמינה, המודל סרק כ-9,000 מטרות ברשת ופרץ לאפליקציה של חברה אחת דרך דף דיבאג חשוף והזרקת SQL. אחר כך הבחין שהשרת שייך לחשבון ענן שאינו קשור לתרגיל, הסיק שהמטרה אמיתית ועצר.
"כשל של תשתית, לא של יישור"
Anthropic מגדירה את האירועים כקרובים יותר ל"כשל תפעולי ושל סביבת ההרצה" מאשר לכשל ביישור המודל (Alignment), ומציינת שלא מצאה ראיה למודל שפעל לטובת מטרות משלו. עם זאת היא מודה שהגבול אינו חד, ושהתנהגות המודל במקרה של PyPI רחוקה מהרצוי. לפי התחקיר, החברה עצרה את כל הערכות הסייבר ב-23 ביולי, זיהתה את האירועים למחרת והודיעה ל-Irregular ולארגונים שנפגעו ב-27 ביולי. שניים מהם כלל לא זיהו את הפעילות.
החברה מתחייבת לאמת כל נתיב גישה לרשת לפני הרצה, לנטר יומני הערכה בזמן אמת, להחיל על ספקי ההערכה סטנדרטים של מערכות ייצור ולמסור את כל התמלילים לבדיקה חיצונית של METR. החבילה הזדונית הוסרה מ-PyPI.
לעורכי דין שמלווים הטמעה של סוכני AI, המקרה ממחיש נקודה מעשית: ההגנה תלויה לא רק במודל אלא בסביבה שבה הוא רץ, ובאחריות של ספק צד שלישי שמפעיל אותה. על בקרות שמוסיפה Box לסוכני AI בעבודה משפטית כתבנו כאן ביולי.
הביקורת מבחוץ
התחקיר מתפרסם בזמן ש-גיקטיים מתעדת גל ביקורת על החברה. לפי הכתבה, Anthropic לא הצטרפה ליוזמה של NVIDIA לקידום מודלים פתוחים, שעליה חתמו כמעט 70 חברות, בהן Meta, Microsoft, OpenAI ו-Google. המנכ"ל Dario Amodei השיב שהחברה מעולם לא תמכה בחסימת מודלים פתוחים, אבל חושש ממתן יתרון למשטרים אוטוריטריים.
עוד לפי הכתבה, בהסתמך על דיווח ב-Wall Street Journal, מנכ"ל Figma דילן פילד טען ש-Anthropic לא הייתה כנה לגבי פיתוח Claude Design, שהושק באפריל ומתחרה במוצרי החברה. מבקרים נוספים מתארים את אזהרות הבטיחות של Anthropic ככלי שיווקי ומנוף מול רגולטורים.
הכתבה מזכירה גם את ההסדר שבו Anthropic תשלם 1.5 מיליארד דולר לסופרים ולמו"לים בגין אימון מודלים על ספרים שהושגו מאתרי פיראטיות. לפי אתר ההסדר בתיק Bartz v. Anthropic (מס' 3:24-cv-5417), בית המשפט נתן לו אישור סופי ב-20 ביולי 2026.
עוד בנושא
- OpenAI מודה: מודלים שלה ברחו מסביבת בדיקה ופרצו לתשתית של Hugging Face
- Box מוסיפה בלמים לסוכני AI ומכוונת לעבודה המשפטית: חסימת מחיקות והרשאות לפי סיווג
- קוד המקור של Claude Code נחשף בחבילת npm, ו-Anthropic צמצמה את בקשת ההסרה ב-GitHub