Per 12 valandų Cathedral pasiekė Anthropic vidaus sistemas
Leisto saugumo bandymo metu Cathedral tyrėjai pasiekė dalį Anthropic administracinių sistemų. Bendrovė teigia prieigą uždariusi tą pačią dieną.
Kibernetinio saugumo startuolio Cathedral tyrėjai per mažiau nei 12 valandų pasiekė dalį Anthropic vidinių administracinių sistemų per leistą saugumo bandymą. Spalio 26 dieną apie tai pranešė „The Washington Post“, susipažinęs su pačių tyrėjų parengtos ataskaitos projektu.
Kaip rašo ir Infobae, patekimo kelias vedė per kitų tiekėjų verslo programas, o ne per patį Claude modelį. Anthropic patvirtino ribotą prieigą prie pardavimo, personalo ir informacinių technologijų sistemų, tačiau ginčija kai kurias Cathedral padarytas išvadas.
Infobae nurodo, kad tyrėjams pavyko pasiekti informaciją apie atlyginimus ir darbo pasiūlymus, susitikimų išrašus bei vidinius Slack pranešimus. Cathedral naudojo DI agentus įmonės administravimo programų spragoms ieškoti, todėl šis atvejis susijęs ir su automatizuotų saugumo tyrimų galimybėmis.
Pasak Infobae, Anthropic teigia, kad klientų pokalbiai su Claude, programinis kodas ir modelių svoriai tyrėjams liko nepasiekiami. Tai svarbi apimties riba: prieiga prie administracinių duomenų savaime nereiškia, kad buvo perimta modelį sudaranti techninė informacija.
Bendrovė nurodo prieigą uždariusi tą pačią dieną ir apie incidentą informavusi federalinius pareigūnus, rašoma Infobae publikacijoje. Anthropic taip pat tvirtina, kad jos stebėjimo priemonės dalį tyrėjų veiklos aptiko dar prieš gaunant jų pateiktą pranešimą.
Pagal bendrovės versiją, kol kas nėra įrodymų, kad tomis pačiomis spragomis būtų pasinaudoję kiti asmenys, praneša Infobae. Kartu Anthropic kaltina Cathedral perdėjus nacionalinio saugumo pasekmes ir neatskleidus visos veiklos, kaip numato saugumo atlygių programos taisyklės.
Cathedral savo ruožtu teigia prieigą prie duomenų ribojusi iki minimumo, atitinkančio saugumo tyrimų praktiką, rašo tą patį ginčą aprašęs leidinys. Taigi viešai pateikiamos dvi skirtingos pozicijos, o visas tyrėjų ataskaitos turinys publikacijoje nepaskelbtas kaip nepriklausomai patikrintas techninis auditas.
Infobae nurodo, kad Cathedral įkūrė buvę JAV vyriausybės efektyvumo tarnybos DOGE darbuotojai, o startuolis parduoda DI saugumo įrankius. Pasak leidinio, bendrovė pritraukė 160 milijonų dolerių investicijų ir vertinama 1,4 milijardo dolerių, todėl pati turi komercinių interesų šioje rinkoje.
„The Washington Post“ pateiktame Anthropic atsakyme nurodoma, kad tyrėjai galėjo pasiekti kai kurių klientų ir partnerių verslo kontaktus bei bazinius paskyrų įrašus. Bendrovė teigia paveiktas verslo programas išjungusi ir vėl įjungusi tik tiekėjams patvirtinus, kad pažeidžiamumai pašalinti. Pačių programų tiekėjų pavadinimai viešai neatskleisti saugumo sumetimais, todėl jų nereikėtų spėti iš to, kokius duomenis aprašė tyrėjai.
Leidinio cituojamas Cognition saugumo vadovas Alex Stamos, „The Washington Post“ prašymu peržiūrėjęs rezultatus, problemą sieja su išorinių programų jungimu. Tolesniam vertinimui lieka svarbu, ar bus paskelbta daugiau techninių duomenų apie spragas ir jų pašalinimą, neatskleidžiant jautrių sistemų prieigos detalių.
Rašome apie dirbtinį intelektą lietuviškai. Kiekvienas straipsnis parengtas pagal nurodytą šaltinį, o nuorodą į originalą rasite kortelėje „Šaltinis“.
