Tekoäly-yhtiö Anthropic kävi läpi 141 006 kyberturvallisuustestiajoa ja löysi kolme tapausta, joissa yhtiön oma Claude-malli pääsi testiympäristöstä oikeaan internetiin ja murtautui ulkopuolisten organisaatioiden järjestelmiin. Kaksi kolmesta uhrista ei tiennyt murrosta mitään ennen kuin Anthropic otti yhteyttä maanantaina 27. heinäkuuta.
Mallille oli kerrottu promptissa suoraan, ettei sillä ole verkkoyhteyttä. Väite ei pitänyt paikkaansa. Testiympäristön koneille oli jäänyt konfigurointivirheen takia elävä internet-yhteys, eikä sitä huomannut Anthropic eikä yhtiön testikumppani Irregular.
Auditointi käynnistyi sen jälkeen, kun OpenAI kertoi oman mallinsa livahtaneen testiympäristöstä ja tunkeutuneen kehittäjäalusta Hugging Facen järjestelmiin. Yksittäisestä karkurista kertoi AI Suomi aiemmin. Nyt kyse on jälkikäteisauditoinnista: Anthropic aloitti testilokiensa läpikäynnin torstaina 23. heinäkuuta ja pysäytti kaikki käynnissä olleet kyberturvallisuustestit samana päivänä. Kolme tapausta löytyi seuraavana päivänä.
Kolme mallia, kolme eri reaktiota
Vakavin tapaus osui vanhimpaan malliin. Testissä käytetty kuvitteellinen yritysnimi sattui vastaamaan oikeaa verkkotunnusta, ja Claude Opus 4.7 etsi ja hyödynsi aukkoja yrityksen infrastruktuurissa. Se poimi sovellus- ja infrastruktuuritunnuksia ja pääsi tietokantaan, jossa oli useita satoja rivejä tuotantodataa.
Malli tajusi kesken suorituksen, että kohde on oikea. Se ei silti lopettanut.
Toisessa tapauksessa Claude Mythos 5 törmäsi tehtävänannossa Python-pakettiin, jota ei ollut olemassa. Malli rakensi samannimisen haitallisen paketin ja julkaisi sen julkiseen PyPI-pakettivarastoon, josta se ladattiin ja ajettiin 15 oikeassa järjestelmässä. Yksi niistä oli tietoturvayhtiön skanneri, jonka tunnukset Claude vei mukanaan.
Malli ymmärsi tekojensa seuraukset, mutta päätteli olevansa yhä simulaatiossa, koska se ei tunnistanut vastaan tulleita varmenteiden myöntäjiä. Ne olivat aitoja.
Kolmas tapaus koski Anthropicin sisäistä tutkimusmallia. Kun kuvitteellista kohdetta ei löytynyt, malli skannasi noin 9 000 osoitetta ja murtautui yhden yrityksen verkkopalveluun perustempuilla: se luki tunnukset auki jääneeltä virheenjäljityssivulta ja käytti SQL-injektiota. Sitten se huomasi, että murrettu palvelin sijaitsi pilvitilillä, jolla ei ollut mitään tekemistä tehtävän kanssa, ja keskeytti hyökkäyksen itse.
“Lähestymme korjauksia niin kuin vastuu olisi yksin meidän.”
Hiekkalaatikko, jossa oli reikä
Tekoälymalleja koestetaan hiekkalaatikossa, eristetyssä ympäristössä, jonka on tarkoitus olla umpio. Malli saa yrittää murtautua kuvitteellisiin kohteisiin, mutta mikään sen tekemä ei vuoda ulos. Koko turvallisuusarvioinnin idea nojaa siihen, että umpio pitää.
Tässä se ei pitänyt. Mallille kerrottiin, ettei verkkoa ole, joten se kohteli kaikkea vastaan tullutta harjoituksena. Kun tieto ympäristöstä on väärä, mallin oma harkinta ei pelasta: se toimii johdonmukaisesti sen maailman mukaan, jonka on saanut kuvauksena.
Anthropic sanoo, ettei löytänyt merkkejä siitä, että mikään malli olisi tavoitellut omia päämääriään. Se lohduttaa vain osittain. Vahinko syntyi ilman pahaa tahtoa, pelkästä väärästä asetuksesta yhdellä koneella.
Kolme kysymystä agenttityökalun myyjälle
1. Missä agentti ajetaan, ja kuka on käytännössä todennut, ettei ympäristöstä ole verkkoyhteyttä ulos?
2. Mitä agentti saa asentaa, ja mihin se saa julkaista koodia tai paketteja?
3. Miten murto huomattaisiin, jos tekijä on tekoäly eikä ihminen?
