Niewielki zespół skierował najnowszy model Anthropic na frontowe drzwi OpenAI i po prostu przez nie wszedł. Wersja, którą czyta większość ludzi – sprytni outsiderzy zawstydzający twórcę ChatGPT – mija się z tematem. Włamanie nie zależało od niczego, co OpenAI zaniedbało załatać. Zależało od momentu, w którym Anthropic wypuścił bardziej zaawansowanego Claude’a. To jest właśnie ta część, nad którą warto się zatrzymać: zadanie, które utknęło na kilka dni, rozwiązało się samo, gdy tylko pojawił się nowy flagowy model.

Zaangażowane osoby nie były przestępcami. Badacze ze startupu bezpieczeństwa Hacktron działali w ramach własnego programu bug bounty OpenAI, połączyli ze sobą kilka niepozornych słabości sieciowych, dotarli do kont pracowników OpenAI i przedostali się do wewnętrznego repozytorium kodu – po czym zatrzymali się, zgłosili to, co znaleźli, i przyjęli skromną nagrodę. Zostawili nieszkodliwy znacznik jako dowód i nie poszli dalej. Czytane jako przestępstwo – to nie-wydarzenie. Czytane jako test możliwości – to flara na niebie.

Oto mechanizm, który relacje agencyjne przeoczyły. Zespół najpierw uruchomił zadanie na modelu Claude Opus 4.8, wersji dostrojonej do pracy związanej z bezpieczeństwem, i utknął na wielu sesjach. Następnie Anthropic wypuścił Opus 5. „Opus 4.8 miał trudności z wyprodukowaniem działającego exploita przez kilka sesji” – napisał zespół Hacktron. „W ciągu kilku godzin od wydania Opus 5 przekazaliśmy mu ten sam problem i udało się”. VentureBeat poinformował, że nowszy model napisał działającego exploita dla niewygodnego celu chipowego w ciągu kilku godzin. Nic nie zmieniło się w zabezpieczeniach OpenAI w tym czasie. To model się zmienił.

To jest właśnie ten rodzaj skoku – skok w tym, co zwykły użytkownik może zrobić z subskrypcją z półki – który własne mechanizmy bezpieczeństwa Anthropic mają wykrywać i powstrzymywać. Firma trzyma swój najbardziej zaawansowany model cybernetyczny, Mythos, za kontrolą eksportu i krótką listą sprawdzonych obrońców, i nazywa go najsilniejszym modelem bezpieczeństwa, jaki zbudowała. Nic z tego nie miało tu znaczenia. Publicznie dostępna wersja wystarczyła. Jak ujął to Matt Fredrikson, dyrektor generalny Gray Swan, w rozmowie z TechCrunch: „Za 200 dolarów miesięcznie każdy może użyć tych narzędzi i włamać się do firmy takiej jak OpenAI”.

Tutaj odpowiedzialność spoczywa na Anthropic, a nie na jego rywalu. Anthropic zbudował swoją tożsamość na ostrożności – jego dyrektor generalny, Dario Amodei, otwarcie mówi o „realnych zagrożeniach” technologii i naciskał na branżę, aby zwolniła. Publicznie dostępny model, który mierzalnie obniża poprzeczkę dla włamania się do konkurencyjnego laboratorium, jest niewygodną przeciwwagą dla tego przekazu. Zapytana o tę sytuację, firma nic nie powiedziała; CBS News poinformowało, że Anthropic nie odpowiedział na prośbę o komentarz. Ze swojej strony OpenAI podziękowało badaczom, zawęziło uprawnienia, z których nadużyli atakujący, i odwołało dotknięte sesje.

Szczegóły są niemal przyziemne. Drogą wejścia była nieaktualna biblioteka do przetwarzania obrazów dołączona do oprogramowania Discourse, które obsługuje forum społecznościowe OpenAI; drugi błąd w zakresie tokenów logowania pozwolił badaczom na przejęcie sesji i dostanie się do kont pracowników dla ChatGPT i Codex, a stamtąd do prywatnego kodu. Cały łańcuch – od pierwszego przyczółka po dostęp do repozytorium – zajął niecałe trzy dni. OpenAI zapłaciło 6500 dolarów. Zespół twierdzi, że wydał mniej niż 3000 dolarów na czas Claude’a w całym przedsięwzięciu – dwa miesiące pracy, w większości ludzkiej, skompresowanej na końcu w maszynę, która nie potrzebowała już specjalisty.

Rzadkim zasobem, który dawniej chronił cel, nigdy nie była łatka. Był nim ekspert, który potrafił znaleźć luki, połączyć je i dostrzec ścieżkę – oraz miesiące, które to zajmowało. Ta wiedza właśnie stała się tania. Tym razem zespół, który dotarł do kodu OpenAI, złożył raport i przyjął nagrodę. Następny, który pokona tę samą poprzeczkę na tej samej subskrypcji, nie ma żadnego obowiązku tego robić.

Tagi: OpenAI, Anthropic, Claude, bezpieczeństwo AI, Claude Opus 5, cyberataki