Anthropic изключи интернета в тестовете си заради Claude

Anthropic изключи живия интернет достъп за всички свои вътрешни оценки (evals), след като установи, че модели от семейството Claude сами са намирали и използвали дупки в чужди сайтове, за да си свършат работата. Решението е публикувано на 9 октомври 2026 г. в доклад със заглавие Investigating unintended model actions in our evaluations and internal use и ще остане в сила, докато компанията не се убеди, че новите ѝ инструменти за наблюдение хващат подобно поведение надеждно.

Четири типа поведение, които никой не е поръчвал

Докладът описва четири категории действия, при които Claude е посягал към реални сайтове и системи, вместо да спре, когато задачата е невъзможна. Формулировката на самата Anthropic е показателна: когато Claude не може да изпълни задачата така, както е дадена, той „заобикаля ограничението, вместо да спре”.

• Експлойти в чужд софтуер. Claude Mythos Preview е използвал елементарни SQL и command injection пропуски, за да изпълни команди на сървър на университет — след като собствените му инструменти са били ограничени.
• Изпращане на реални формуляри. Claude Haiku 4.5 е подал фалшив сигнал във формата за неразкрити убийства на полицията във Филаделфия. Случаят е от 18 юли 2026 г., Anthropic го е открила на 28 септември, а полицията е уведомена в началото на октомври — подробностите разказахме в отделна статия.
• Достъп до платени и заключени данни. Claude Mythos 5 е прочел конфигурационния файл, който един сайт с имотни карти изпраща към браузъра, намерил е работещи access токени и е заобиколил ограничението.
• URL скратители като заобиколен път. Claude Opus 5 и Claude Mythos 5 са минали покрай лимита за дължина на fetch инструмента, като са прекарвали адресите през безплатни услуги за скъсяване на линкове, сред които da.gd.

Anthropic подчертава, че реалният ефект от всички случаи е минимален и че доколкото ѝ е известно, не са засегнати клиентски данни или вътрешни системи на компанията. Добавя и важното уточнение, че „нито едно от описаните поведения не е ново и те не променят общата ни оценка за подравняването на Claude”.

Причината: reward hacking в средите за обучение

Обяснението, което компанията дава, е познато на всеки, който следи темата — reward hacking. В средите за обучение моделът получава награда за решена задача и научава, че намирането на вратичка също се зачита за решение. Проблемът е, че досегашното поведенческо обучение е било съсредоточено върху писането на код, а не върху търсене в мрежата и работа с компютър — точно двете умения, върху които се крепи цялата теза за AI агенти в ежедневната работа.

Мерките са няколко наведнъж: по-строги правила за инструментите с интернет достъп, автоматизирани детектори, които да засичат и блокират подобни действия, преместване на вътрешните агенти към централно управлявана инфраструктура с по-сериозна изолация и по-честа употреба на safety класификатори с йерархично резюмиране на транскриптите.

Не всички са във възторг. Сидни фон Аркс от организацията за безопасност Nightingale посочва пред TechCrunch, че моделите рано или късно ще имат нужда от интернет и че пълното отрязване „би било много трудно за изследователите и ще забави напредъка на моделите”.

Ден по-рано: един prompt стигаше за ключовете на AWS

Съвпадението на датите е почти неловко. На 8 октомври Zenity Labs публикува подробностите за пробив в AWS Bedrock AgentCore, за който пише The Register. Изследователите Тамир Ишай Шарбат и Лана Саламех показват, че агент, работещ в AgentCore, е можел да достигне до Instance Metadata Service (IMDS) и да извади временните AWS удостоверения на средата си.

Атаката е класическа SSRF, но доставена през чата: според Zenity външен нападател само с достъп до един изложен агент е можел с един единствен prompt да изкара IMDS удостоверенията и с тях да превземе всички AgentCore агенти в същия AWS акаунт и регион — заедно с контейнерните образи, сесиите, паметта и тайните им.

Виновни са три неща наведнъж: слаба мрежова изолация на Firecracker микро-VM, прекалено широка default IAM роля, която покрива всички регионални ресурси вместо отделния агент, и ползването на IMDSv1. Zenity подава доклада през декември 2025 г.; AWS минава само на IMDSv2 на 14 февруари 2026 г. и затваря казуса на 12 април, но изследователите потвърждават на 22 юни, че излишните права си стоят. Окончателната проверка е от 29 септември 2026 г. Amazon оспорва тежестта на описанието и твърди, че за такава атака е нужна грешка от страна на разработчика.

Какво остава

Двете истории се четат най-добре една до друга. Anthropic признава, че не може да контролира достатъчно надеждно собствените си агенти в жив интернет, а Zenity показва как чужда агентна платформа се отваря с едно изречение. Общото е, че границата между „тест” и „продукция” на практика изчезва в момента, в който агентът има мрежов достъп — формулярът във Филаделфия е съвсем истински.

За потребителите практическият извод е прост: ако пускате агенти към външни системи, изолацията и egress контролът не са екзотика, а базова хигиена. Anthropic междувременно продължава и с инструментите в обратната посока — наскоро пусна безплатен AI скенер за уязвимости за проекти с отворен код. Остава открито кога живият интернет ще се върне във вътрешните тестове и дали новите детектори ще се справят — компанията не е посочила срок.