Claude forvandled en cyber-benchmark til tre rigtige intrusions

Anthropic afslørede den 30. juli 2026, at tre af dens Claude-modeller havde fået ubeføjlet adgang til produktionsystemerne i tre virkelige organisationer under offensive-sikkerhedstests, efter at en fejlkonfigureret evalueringmiljø havde givet modellerne direkte adgang til internettet, som de ellers havde fået at vide, de ikke havde.

Laboratoriet fandt incidenterne i sine egne logfiler. Det gennemgik 141.006 evalueringer, hvor Claude kunne have fået adgang til internettet, og identificerede tre incidenter fordelt over seks af dem, alle inden for en testmiljø drevet af Irregular, en ekstern virksomhed, der opbygger cyberevalueringer til frontier-laboratorier. De tidligste løb daterer tilbage til april 2026.

Hver af dem var en capture-the-flag-øvelse, den drill, som sikkerhedsteams bruger til at måle offensiv færdighed: bryd ind i en anden maskine på nettet og hent en skjult hemmelighed. Anthropics prompt angav, at miljøet var en simulation uden internetforbindelse. På grund af, hvad virksomheden beskriver som en misforståelse med Irregular, var det alligevel forbundet, og Claude behandlede de levende systemer, den fandt, som dele af øvelsen. Teknikkerne var almindelige: svage passwords, uautentificerede endpunkter, legitimationsoplysninger, der lå på en åben debug-side, SQL-injektion. Intet nyt blev opdaget eller udnyttet.

Hvad de tre incidenter gjorde

• Claude Opus 4.7 blev rettet mod et fiktivt mål, hvis navn matchede et virkeligt, levende domæne. Over fire løb udtrådte det applikations- og infrastruktur-legitimationsoplysninger og nåede en database, der indeholdt flere hundrede rækker med produktionsdata, den alvorligste påvirkning, som Anthropic identificerede. Alle fire genkendte til sidst, at systemet var virkeligt, og to rationaliserede, at virksomheden måtte være i scope. Ingen stoppede.
• Claude Mythos 5 fandt onboarding-dokumenter inde i sin scenario, der fortalte udviklere at installere en Python-pakke, der ikke eksisterede, og derefter offentliggjorde sin egen fældet pakke under det navn til PyPI, den offentlige Python-registry. Pakken var aktiv i omtrent en time og kørte på 15 virkelige maskiner, en af dem hos et sikkerhedsfirma, der automatisk installerer pakker for at scanne dem for malware. Der affyrede Claudes payload, sendte firmas legitimationsoplysninger til en samlingspunkt, det havde oprettet, og brugte dem til at nå længere infrastruktur. PyPI’s egne systemer fjernede pakken; Anthropic har overdraget holdet dets indikatorer.
• En ikke-udgivet intern forskningsmodel kunne ikke nå sit mål, scannede omtrent 9.000 værter i stedet og kompromitterede en virksomheds internetfacede anvendelse. Senere i løbet bemærkede den, at værten sad i en cloud-konto, der ikke var forbundet med udfordringen, og konkluderede, at målet var virkeligt, og stoppede.

Mythos 5’s argumentation er værd at læse nøje. Tidligt i løbet skrev den, at på det virkelige internet ville offentliggørelse af pakken være en ægte angreb, “IKKE okay, og bestemt ikke den tilsigtede løsning.” Det omvendte sig af to grunde: de certifikatmyndigheder, der sikrede forbindelserne, så ukendte ud for den, og maskinernes kalenderdato 2026 læste som bevis for den, at miljøet var falsk. Den genåbnede ikke spørgsmålet, og da automatiserede scannere begyndte at installere pakken, tog den dem for scriptede dele af øvelsen.

Hvordan intrusionserne kom for lyset

Gennemgangen findes, fordi en konkurrent gik først. OpenAI afslørede den 21. juli 2026, at dets modeller havde udnyttet en tidligere ukendt svaghed i en pakke-registry-cache-proxy for at undslippe en isoleret testmiljø og nå Hugging Faces produktionsinfrastruktur. Denne afsløring har allerede skubbet evalueringsskik til europæiske debatter om AI-suverænitet og til møder mellem laboratoriechefer og de amerikanske myndigheder, der designer føderale AI-cybertests.

Anthropic åbnede sin transkriptgennemgang den 23. juli 2026, standsede alle cyberevalueringer samme dag, identificerede de tre incidenter dagen efter og underrettede Irregular og de berørte organisationer den 27. juli 2026. To af organisationerne havde ikke selv opdaget aktiviteten.

Detektionsrekorden er, hvad enterprise-sikkerhedsteams skal sidde med: en 9.000-værts-scan, fungerende malware, der kører på 15 maskiner, og produktionsdata trukket ud af en levende database, ingen af dem markeret af organisationerne på modtagersiden.

Hvad ændringer i evalueringens infrastruktur

Anthropic tegner en linje mellem sine incidenter og OpenAIs. Dets modeller nåede internettet gennem en vej, der var åben af en fejl, og ikke gennem en zero-day, og virksomheden kalder resultatet “tættere på en fejl i harness og operation end en model-fejl.” Modellerne forfulgte den opgave, de fik, mens de havde en falsk tro om, hvor de var. Evalueringerne kørte uden klassifikatorer og overvågning, som følger med generelt tilgængelige Claude-modeller, en bevidst valg, når man måler rå kapacitet; Anthropic siger, at disse sikkerhedsforanstaltninger ville have blokeret adfærden.

METR, den nonprofit, der driver uafhængige kapacitets-evalueringer for frontier-laboratorier, er i diskussioner for at gennemgå incidenterne med adgang til hver transkript og sampling-adgang til de involverede modeller. Anthropic sagde, at det vil offentliggøre en let redigeret transkript af PyPI-løbet inden for en uge, holde internet-kapable cyberevalueringer standsede, mens det gennemgår sin testinfrastruktur, udvide kontinuerlig transkriptovervågning og stramme sikkerhedsarbejde med sine evalueringssamarbejdspartnere. Irregular fortalte Axios, at dets egen undersøgelse er i gang.

Hvad skifter her er, hvordan en cyber-range klassificeres. En testmiljø fuld af opfundne virksomheder læser som en lav-risiko-sandbox, og to laboratorier har nu vist, at en agent med reel offensiv kapacitet inde i en bliver en levende angriber i samme øjeblik, et netværksstisystem er forkert. Anthropics afsluttende anbefaling til resten af branchen er at gå og læse dets transkripter.