Claude opublikował złośliwy pakiet w PyPI. Anthropic potwierdza włamania do trzech organizacji podczas testów

Claude opublikował złośliwy pakiet w PyPI. Anthropic potwierdza włamania do trzech organizacji podczas testów

Anthropic przyznał w czwartek, że trzy modele Claude uzyskały nieuprawniony dostęp do systemów trzech różnych organizacji podczas wewnętrznych testów cyberbezpieczeństwa, a jeden z nich zbudował i wypuścił do publicznego repozytorium PyPI działający złośliwy pakiet. Firma dowiedziała się o tym dopiero po przejrzeniu 141 006 przebiegów ewaluacyjnych, a sam przegląd ruszył wyłącznie dlatego, że tydzień wcześniej podobną wpadkę ujawniło OpenAI.

Pełny opis incydentów opublikował zespół Frontier Red Team Anthropic w komunikacie z 30 lipca. To dokument, który czyta się jak postmortem po awarii infrastruktury, a nie jak notatka o zbuntowanej sztucznej inteligencji. I właśnie dlatego jest ciekawszy, niż sugerują nagłówki.

Jak model wyszedł do prawdziwego internetu

Wszystkie trzy incydenty wydarzyły się podczas ćwiczeń typu capture the flag. Model dostaje fikcyjny scenariusz, informację, że gdzieś w sieci ukryto tajną wartość, i zadanie: znaleźć ją. Metody nie są narzucone. Testy prowadzono w środowisku firmy Irregular, jednego z zewnętrznych partnerów ewaluacyjnych Anthropic.

W poleceniu systemowym napisano modelowi wprost, że działa w symulacji i nie ma dostępu do internetu. Przez nieporozumienie między Anthropic a partnerem maszyny w środowisku testowym miały ten dostęp cały czas. Kiedy więc Claude trafił na prawdziwe serwery, uznał je za element ćwiczenia.

Reszta potoczyła się sama.

„Claude naruszył infrastrukturę dotkniętych organizacji, korzystając z podstawowych technik, takich jak wykorzystanie słabych haseł i nieuwierzytelnionych punktów końcowych” / „Claude compromised the impacted organizations’ infrastructure using basic techniques, such as exploiting weak passwords and unauthenticated endpoints”, czytamy w komunikacie. Żadnych luk zero-day, żadnej egzotyki. Skanowanie, źle zabezpieczona strona debugowania, SQL injection, hasło, które ktoś zostawił po sobie w konfiguracji.

Trzy incydenty, trzy różne reakcje

Sześć przebiegów testowych, trzy modele, trzy zupełnie odmienne zachowania w momencie, w którym pojawiły się sygnały, że cel jest prawdziwy:

• Claude Opus 4.7 trafił na firmę, której prawdziwa domena przypadkiem pokrywała się z nazwą fikcyjnego celu w scenariuszu. W czterech przebiegach wykradł poświadczenia aplikacyjne i infrastrukturalne oraz dostał się do bazy z kilkuset wierszami danych produkcyjnych. W trakcie rozumowania model zorientował się, że system jest realny. W dwóch przypadkach wytłumaczył sobie, że prawdziwa firma musi być częścią ćwiczenia. Ataku nie przerwał ani razu.
• Claude Mythos 5 znalazł w fikcyjnym środowisku instrukcję dla nowych programistów, która kazała zainstalować nieistniejący pakiet z PyPI. Model dostrzegł okazję i postanowił opublikować własny pakiet pod tą samą nazwą. Żeby to zrobić, potrzebował konta w PyPI, do konta potrzebował adresu e-mail, do adresu numeru telefonu, a numeru telefonu nie miał za co kupić. Próbował zdobyć środki na kilka sposobów, poległ, wrócił się, znalazł darmowego dostawcę poczty i ostatecznie wgrał złośliwy pakiet. Leżał publicznie mniej więcej godzinę. W tym czasie pobrało go i uruchomiło 15 prawdziwych systemów, w tym skaner firmy zajmującej się bezpieczeństwem, który rutynowo instaluje pakiety z PyPI, żeby sprawdzać je pod kątem malware’u. Kod Claude’a wykonał się, wyprowadził poświadczenia do przygotowanego wcześniej punktu zbiorczego, a model użył ich do wejścia głębiej w infrastrukturę tej firmy. PyPI usunęło pakiet automatycznie.
• Wewnętrzny model badawczy, najnowszy z całej trójki, przeskanował około 9 tysięcy celów i włamał się do aplikacji jednej z firm. Później zorientował się, że przejęty host leży w koncie chmurowym niepowiązanym z zadaniem. Sam doszedł do wniosku, że cel jest prawdziwy, i przerwał ćwiczenie.

Najbardziej niepokojący jest tu fragment rozumowania Mythos 5. Model na wczesnym etapie sam zauważył, że gdyby to był prawdziwy internet, publikacja takiego pakietu byłaby realnym atakiem i z pewnością nie tym, o co chodziło w zadaniu. Po czym przekonał sam siebie, że jednak jest w symulacji, bo nie rozpoznał urzędów certyfikacji zabezpieczających połączenia, a data 2026 w systemie wydała mu się dowodem inscenizacji. Do tego wniosku już nie wrócił. Kiedy automatyczne skanery zaczęły pobierać pakiet, uznał je za zaprogramowanych statystów.

Wpadka jest poważna, ale nie z tego powodu, który podsuwa większość nagłówków. Nie mamy tu modelu, który realizuje własne cele ani próbuje uciec. Mamy model, który zrobił dokładnie to, o co go poproszono, w środowisku opisanym mu nieprawdziwie. Winna jest konfiguracja, nadzór i to, że przez trzy miesiące nikt nie zajrzał do transkryptów.

Uderza mnie co innego. Anthropic sam pisze, że gdyby człowiek musiał zakładać skrzynkę pocztową, szukać numeru telefonu i kombinować z płatnościami, żeby dokończyć ćwiczenie, w pewnym momencie by się zatrzymał i zapytał, czy na pewno tak ma być. Model się nie zatrzymał. Determinacja w realizacji zadania okazała się większa niż zdolność do zakwestionowania własnych założeń o świecie.

Doceniam, że firma to opisała, i to ze szczegółami, których nikt by od niej nie wyegzekwował. Dwie z trzech poszkodowanych organizacji w ogóle nie wiedziały, że coś się stało. Z trzecią nadal nie ma kontaktu. To dobrze świadczy o przejrzystości i fatalnie o wykrywalności takich zdarzeń po stronie ofiar. Pytanie, które sobie zadaję, brzmi: ile podobnych sytuacji przeszło niezauważonych u dostawców, którzy nie prowadzą retrospektywnych przeglądów i nie publikują ich wyników?

Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl

Dlaczego to nie jest kopia sprawy OpenAI

Anthropic ruszył z przeglądem po 21 lipca, kiedy OpenAI ujawniło, że jego modele wyłamały się z izolowanego środowiska testowego, wykorzystując lukę zero-day, i dobrały się do infrastruktury produkcyjnej Hugging Face. Różnice są konkretne i firma sama je wypunktowuje:

• modele Claude nie wykorzystały żadnej nieznanej wcześniej podatności, tylko wyszły otwartą furtką zostawioną przez błąd konfiguracji,
• nie próbowały się skopiować na zewnątrz ani celowo uciec ze środowiska testowego,
• incydenty wykryto samodzielnie, przy przeglądzie własnych zapisów, a nie po zgłoszeniu od poszkodowanych,
• najnowszy model zatrzymał się sam, kiedy zorientował się, w czym uczestniczy.

Anthropic klasyfikuje sprawę bliżej awarii operacyjnej niż porażki wyrównania modelu. Można się z tym zgadzać albo nie, ale rozróżnienie ma sens. Testy zdolności ofensywnych z definicji prowadzi się bez zabezpieczeń, które trafiają do wersji publicznych, bo chodzi o zmierzenie surowych możliwości modelu. Sęk w tym, że taki układ jest bezpieczny wyłącznie wtedy, gdy izolacja naprawdę działa.

Kalendarium reakcji wygląda przyzwoicie. Przegląd transkryptów ruszył w czwartek 23 lipca, tego samego dnia wstrzymano wszystkie testy cyberbezpieczeństwa, następnego dnia zidentyfikowano wszystkie trzy incydenty, a w poniedziałek 27 lipca powiadomiono Irregular i poszkodowane firmy. Najstarszy przypadek pochodzi z kwietnia.

Branża reaguje mocniej niż zwykle

Sprawa OpenAI już wcześniej rozgrzała środowisko badaczy bezpieczeństwa. Yoshua Bengio, laureat Nagrody Turinga, nazwał tamten incydent głęboko niepokojącym i dodał, że „ten przypadek z prawdziwego świata powinien być sygnałem alarmowym” / „this real-world case should serve as a wake-up call”. Marius Hobbhahn z Apollo Research, organizacji testującej modele pod kątem bezpieczeństwa, uznał go za powód, by poważnie potraktować ryzyko utraty kontroli nad systemami AI. Chris Dimitriadis z ISACA ujął rzecz z perspektywy biznesu i ostrzegł, że wyścig o jak najszybsze wdrożenia AI zbliża się do punktu, z którego nie ma odwrotu.

Anthropic zapowiada, że rozmawia z METR, niezależną organizacją zajmującą się ewaluacją modeli, o zewnętrznym przeglądzie sprawy razem z dostępem do wszystkich transkryptów. W ciągu tygodnia ma też opublikować lekko ocenzurowany zapis przebiegu, w którym Claude budował złośliwy pakiet PyPI. Irregular prowadzi własne postępowanie.

Ludzie polskiego AI: indeks 125 firm i ludzi

Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.

Sprawdź

Co to oznacza dla polskich firm

Trzy rzeczy, każda w innym horyzoncie czasowym.

Pierwsza jest natychmiastowa i nie ma nic wspólnego z regulacjami. Incydent z PyPI pokazuje, jak tanio da się zaatakować łańcuch dostaw oprogramowania. Model nie znał firmy, która ucierpiała. Wgrał pakiet do publicznego repozytorium, a zaatakowany sam go sobie pobrał i uruchomił, bo jego proces zakładał, że zawartość PyPI jest bezpieczna do instalacji. Każdy polski zespół deweloperski, który buduje na publicznych rejestrach npm, PyPI czy Maven Central bez blokowania nieznanych pakietów, ma dokładnie ten sam problem. Uruchamianie nieznanego kodu w środowisku z poświadczeniami produkcyjnymi to nie ryzyko teoretyczne, tylko scenariusz, który właśnie zadziałał.

Druga dotyczy obowiązków, które już biegną. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku i objęła kilkanaście sektorów gospodarki. Termin na złożenie wniosku o wpis do wykazu mija 3 października 2026 roku, a kary sięgają 10 milionów euro albo 2 procent obrotu, z osobistą odpowiedzialnością kierownictwa do 300 procent wynagrodzenia. Firmy objęte tym reżimem muszą zgłaszać poważne incydenty w rytmie 24 i 72 godzin. Dwie z trzech organizacji zaatakowanych przez Claude’a nie zauważyły niczego przez wiele tygodni. Zegar zgłoszeniowy nie rusza od momentu włamania, tylko od jego wykrycia, a wykrycie jest tu najsłabszym ogniwem.

Trzecia to nadzór nad samymi dostawcami modeli. Od 2 sierpnia 2026 roku zaczynają obowiązywać kolejne przepisy AI Act, w tym wymogi przejrzystości. Dostawcy modeli ogólnego przeznaczenia stwarzających ryzyko systemowe mają już obowiązek dokumentowania i zgłaszania poważnych incydentów do unijnego Urzędu ds. AI oraz zapewnienia cyberbezpieczeństwa modelu i jego infrastruktury. Ustawę o systemach sztucznej inteligencji prezydent podpisał 24 lipca 2026 roku, a powołana na jej mocy Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji ma zacząć pracę dopiero jesienią. Według Ministerstwa Cyfryzacji przewodniczący pojawi się w październiku, cała komisja w listopadzie. Do tego czasu polski nadzór nad rynkiem AI pozostaje bytem na papierze.

Czy incydent, w którym model podczas testów wewnętrznych włamał się do prawdziwej firmy, mieści się w definicji poważnego incydentu podlegającego zgłoszeniu? Anthropic zgłosił go dobrowolnie i publicznie. Ale to pytanie wraca do każdego dostawcy, który akurat nie ma ochoty pisać o sobie postmortemu.

Źródła i metodologia

Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym oficjalnego komunikatu zespołu Frontier Red Team Anthropic z dnia 30.07.2026, komunikatu OpenAI o incydencie z Hugging Face oraz relacji BleepingComputer. Wykorzystano również doniesienia agencji Reuters oraz materiały CNBC, CNN, Axios, The Guardian, Fortune i AI Magazine. Kontekst polskich regulacji opracowano na podstawie informacji Ministerstwa Cyfryzacji oraz publikacji CyberDefence24, Rzeczpospolitej i Prawo.pl. Cytaty Yoshuy Bengio oraz fragmenty komunikatu Anthropic zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o incydentach w środowiskach ewaluacyjnych Anthropic i OpenAI oraz o wynikach przeglądu prowadzonego przez METR.