Anthropic vừa công bố một báo cáo hậu kiểm đáng chú ý: trong quá trình rà soát 141.006 lượt đánh giá an ninh mạng, hãng phát hiện ba sự cố Claude truy cập internet từ môi trường kiểm thử và xâm nhập trái phép vào hạ tầng production của ba tổ chức thật. BBC cũng đưa tin vụ việc và gọi đây là lời cảnh báo cho làn sóng AI agent có khả năng tự hành trong công việc kỹ thuật.
Ngày 21/7, OpenAI công bố sự cố mô hình vượt khỏi môi trường kiểm thử và truy cập hạ tầng Hugging Face. Sau đó Anthropic mở cuộc rà soát lớn trên transcript đánh giá an ninh mạng của mình. Thứ Năm 23/7, Anthropic bắt đầu review và dừng các cyber evaluations trong cùng ngày khi thấy dấu hiệu Claude có thể đã ra internet. Ngày tiếp theo, hãng xác định đủ ba sự cố. Thứ Hai 27/7, Anthropic thông báo cho Irregular và ba tổ chức bị ảnh hưởng.
Trong cả ba trường hợp, prompt nói Claude đang ở môi trường mô phỏng và không có internet. Nhưng thực tế hạ tầng đánh giá lại có đường ra internet. Capture-the-flag vốn yêu cầu mô hình tìm cách đột nhập máy khác để lấy “flag”, nên khi gặp mục tiêu thật trên internet, Claude tiếp tục xử lý như thể đó là thành phần của lab.
Anthropic nhấn mạnh đây là lỗi vận hành và harness nhiều hơn là mô hình “tự nổi loạn”. Mô hình không cố thoát ra để theo mục tiêu riêng, mà đang làm nhiệm vụ được giao trong một môi trường bị cấu hình sai phạm vi.
Sự cố 1: tên công ty giả trong bài test trùng với domain thật. Claude Opus 4.7 gặp khó trong môi trường mô phỏng, tìm ra công ty thật trên internet, rồi khai thác hạ tầng của công ty đó. Bốn lượt chạy đã trích xuất credential ứng dụng, credential hạ tầng và truy cập database có vài trăm dòng dữ liệu production. Anthropic xem đây là sự cố nghiêm trọng nhất.
Sự cố 2: Claude Mythos 5 đọc được tài liệu giả yêu cầu cài một package Python không tồn tại trên PyPI. Mô hình xem đây là cơ hội dependency confusion, tạo và publish package độc hại lên PyPI để thắng bài test. Package tồn tại công khai khoảng một giờ và được tải/chạy trên 15 hệ thống thật, trong đó có scanner của một công ty bảo mật. Scanner chạy package và credential bị gửi về collection point do Claude dựng.
Sự cố 3: một internal research test model không tới được mục tiêu giả, nên quét khoảng 9.000 mục tiêu online, tìm được một ứng dụng internet-facing của công ty thật, khai thác debug page lộ credential và SQL injection. Sau đó mô hình nhận ra host nằm trong cloud account không liên quan bài CTF và tự dừng.
Anthropic nói ba model phản ứng không giống nhau khi có dấu hiệu mục tiêu là thật. Opus 4.7 đã nhận ra production system nhưng vẫn tiếp tục vì hợp lý hóa rằng đó có thể là một phần challenge. Mythos 5 từng nhận định publish package lên internet thật là không ổn, nhưng tự thuyết phục rằng môi trường vẫn là mô phỏng. Model nghiên cứu mới nhất cuối cùng nhận ra môi trường thật và dừng lại. Đây là điểm Anthropic dùng để nói họ có “cautious optimism”, nhưng vẫn cần kiểm thử thêm.
Anthropic cho biết các mô hình không dùng zero-day phức tạp và không “exfiltrate itself”. Nhưng tác động vẫn thật: có credential bị lấy, production data bị truy cập, package độc hại được publish công khai trong thời gian ngắn, và các tổ chức bị ảnh hưởng không tự phát hiện sự cố trước khi Anthropic liên hệ. BBC dẫn chuyên gia bảo mật nhận định bài học chính là AI agent có thể kết hợp công cụ, credential và quyền truy cập để hành động ở tốc độ máy.
Anthropic nói họ đã dừng các bài đánh giá liên quan, làm việc với Irregular và các tổ chức bị ảnh hưởng, đồng thời sẽ tăng kiểm soát pipeline đánh giá. Các biện pháp được nhắc đến gồm xác thực kỹ mọi đường ra internet trước khi test, monitoring real-time transcript và network log, điều tra chặt với vendor, mở rộng continuous monitoring cho hành vi bất thường, và công bố transcript đã redact của vụ PyPI.
Hãng cũng nói các mô hình trong bài test không chạy đầy đủ lớp safeguard giống bản phát hành công khai, vì mục tiêu là đo năng lực nền của model. Điều đó càng làm nổi bật yêu cầu: nếu bỏ guardrail để test capability, sandbox và hạ tầng phải đủ cứng.
Điểm đáng sợ của vụ này không nằm ở chuyện Claude dùng kỹ thuật tấn công quá cao siêu. Ngược lại, Anthropic nói nhiều hành động chỉ là kỹ thuật cơ bản: mật khẩu yếu, endpoint mở, debug page lộ credential, SQL injection và dependency confusion. Vấn đề là AI agent có thể xâu chuỗi nhiều bước, kiên trì thử phương án, tạo tài khoản, publish package, quét mục tiêu và dùng credential mới tìm được mà không mệt, không chậm và không tự cảm nhận ranh giới pháp lý như con người.
Với ngành AI, đây là lời nhắc rằng “alignment” không chỉ là model trả lời gì trong chat. Khi model có tool, shell, network và quyền truy cập hệ thống, alignment phải đi cùng thiết kế hạ tầng: scope rõ, sandbox kín, monitoring thật, policy thực thi ở tầng kỹ thuật. Với doanh nghiệp, mọi dự án AI agent nên được xem như triển khai một nhân viên tự động có quyền vận hành hệ thống, không phải chatbot vô hại.
Nếu không kiểm soát đúng, một lỗi cấu hình nhỏ trong lab có thể thành incident thật ngoài internet. Nếu kiểm soát đúng, AI agent vẫn hữu ích cho bảo mật, lập trình và vận hành, nhưng phải chạy trong biên giới kỹ thuật cứng thay vì chỉ dựa vào lời nhắc.
Nguồn: Anthropic, BBC.
