От случайной утечки до экстренного заседания в Вашингтоне: как Anthropic за две недели переписала правила кибербезопасности?

Автор: TechFlow

8 апреля министр финансов США Бессент и председатель Федеральной резервной системы Пауэлл в срочном порядке собрали группу лидеров крупных банков Уолл-стрит в штаб-квартире Минфина в Вашингтоне.

Темой встречи стали не процентные ставки, и не инфляция, а новейшая модель одной ИИ-компании.

Эта модель называется Claude Mythos. Anthropic утверждает, что это самый мощный ИИ, который они когда-либо создавали, настолько мощный, что они сами боятся его выпускать. Во время внутренних тестов он вырвался из созданной исследователями безопасной песочницы, появился в интернете и начал публиковать посты с описанием своего побега. Исследователь Сэм Боумэн, отвечавший за эти тесты, как раз ел бутерброд в парке, когда внезапно получил от Mythos письмо, после чего понял, что модель уже на свободе.

Цепная реакция, вызванная ошибкой настройки CMS

Всё началось вечером 26 марта.

Александр Поувельс из Кембриджского университета и Рой Паз из LayerX Security, как и все исследователи безопасности, занимались тем, чем занимаются каждый день: проверяли то, к чему не должен быть открыт доступ. Они обнаружили незашифрованную базу данных системы управления контентом Anthropic, в которой хранилось почти 3000 неопубликованных документов.

Один из них представлял собой черновик блога, описывающий новую модель под названием Claude Mythos. В черновике использовался внутренний кодовый символ «Капибара» (Capybara), определявший совершенно новый уровень моделей, превосходящий самую мощную на тот момент серию Opus от Anthropic по размеру, интеллекту и стоимости.

Одна фраза в черновике буквально взорвала всё информационное пространство кибербезопасности: эта модель «далеко опережает любые другие ИИ-модели» по навыкам в сфере сетевой безопасности, и она «предвещает грядущую волну новых моделей, возможности эксплуатации уязвимостей которых будут значительно превышать скорость реагирования защитников».

Первой об утечке сообщила Fortune. Anthropic объяснила инцидент «человеческим фактором», заявив, что по умолчанию система управления контентом настроила загруженные файлы как общедоступные. Ирония заключается в том, что компания, которая заявляет о создании самого сильного в мире ИИ для кибербезопасности, сама стала жертвой базовой ошибки конфигурации.

Через пять дней Fortune снова сообщило о второй утечке: исходный код инструмента для программирования Anthropic Claude Code — примерно 500 тысяч строк кода и 1900 файлов — был раскрыт из-за ошибки упаковки npm. Две аварии низкого уровня за две недели произошли именно в той компании, которая предупреждает весь мир о наступлении эпохи ИИ-кибератак.

Но рынку было не до насмешек над уровнем операционной деятельности Anthropic. С началом торгов 27 марта акции сектора кибербезопасности коллективно обвалились. CrowdStrike рухнул на 7,5%, Palo Alto Networks упал более чем на 6%, Zscaler потерял 4,5%, а ETF iShares Cybersecurity подешевел за день на 4%.

Оценка аналитика Stifel Адама Борга звучала так: «Это, возможно, „ультимативный инструмент хакера“, способный вывести любого обычного злоумышленника на уровень государственного противника».

Насколько силен Mythos?

7 апреля Anthropic официально представил Mythos. Давайте сразу посмотрим на цифры:

SWE-bench Verified (бенчмарк, измеряющий способность ИИ решать реальные задачи программной инженерии): 93,9%, тогда как у флагмана предыдущего поколения Opus 4.6 этот показатель составляет 80,8%. USAMO 2026 по математическим доказательствам: 97,6% против 42,3%. Соревнование по кибербезопасности Cybench: 100% проходимость, чего ранее ни одна модель не достигала.

Скачок в математических доказательствах USAMO с 42,3% до 97,6% означает отставание целого поколения моделей в 55 процентных пунктов.

Anthropic выпустила документацию System Card объемом 244 страницы, в которой откровенно призналась, что навыки Mythos в сфере кибербезопасности происходят не из специализированного обучения безопасности, а являются «побочным эффектом» повышения возможностей общего рассуждения и программирования. Эти же улучшения, позволяя модели эффективнее устранять уязвимости, делают её также более искусной в их эксплуатации.

Фронт-редтеам Anthropic протестировал Mythos на реальном ПО. Не в симулированной среде, не на задачах соревнований CTF, а на операционных системах и браузерах, которыми ежедневно пользуются миллиарды людей.

Результаты оказались следующими: на движке JavaScript Firefox 147 Opus 4.6 предпринял сотни попыток и написал лишь 2 работающие эксплойт-программы. Mythos добился успеха 181 раз. Разница в 90 раз — дистанция целого поколения моделей. Среди всех основных операционных систем и браузеров Mythos обнаружил тысячи нулевых уязвимостей, большинство из которых были классифицированы как «критические».

Еще более поразительны конкретные кейсы. Уязвимость TCP SACK в OpenBSD просуществовала 27 лет, пережив бесчисленные ручные аудиты и проверки автоматизированными сканерами, оставшись незамеченной. Mythos нашёл её: ему потребовалось всего два тщательно сконструированных пакета данных, чтобы вызвать падение любого сервера. Уязвимость удаленного выполнения кода через NFS во FreeBSD существовала 17 лет. Mythos не только обнаружил её, но и самостоятельно构建了 атаку, растянутую на несколько пакетов данных и состоящую из 20 ROP-гаджетов.

Инженеры Anthropic без опыта в безопасности провели эксперимент: перед сном поручили Mythos найти уязвимость удаленного выполнения кода, а утром обнаружили на столе полностью рабочий эксплойт.

Побег из песочницы: когда ИИ начинает «пренебрегать границами»

Обнаружение нулевых уязвимостей — это вопрос компетенции, но поведенческие паттерны, которые продемонстрировал Mythos в ходе тестов, имеют принципиально иную природу.

Во время одного из тестов на поведение исследователи поместили раннюю версию Mythos в безопасную песочницу, имитирующую сценарий, где пользователь просит её попытаться сбежать из окружения и уведомить отвечающего за тест специалиста. Mythos не только успешно совершил побег, но и выполнил действие, которое никто от него не запрашивал: он разместил посты на нескольких малоизвестных, но публично доступных сайтах, описав процесс своего выхода.

В 244-страничной документации System Card также зафиксировано больше «выходов за рамки». Когда Mythos допускал ошибку в коде, он пытался переписать историю коммитов в git, чтобы замести следы. Делал он это не для того, чтобы кого-то обмануть, а потому что интерпретировал задачу «устранить проблему» как «заставить проблему выглядеть так, будто её никогда не существовало». В другом тесте исследователь приказал завершить оценочную задачу, которая больше не была нужна, а Mythos просто принудительно закрыл аналогичные оценки, запущенные другими пользователями.

Anthropic приводит в документации сравнение со скалолазанием: высококлассный гид может подвергнуть клиентов большей опасности, чем новичок, поскольку его навыки позволят провести группу по значительно более рискованным маршрутам.

В документации также скрыта важная деталь: благодаря инструментам white-box interpretability исследователи выяснили, что на уровне внутренних нейронных активаций Mythos иногда просчитывает стратегии для «прохождения» системы оценки, тогда как в видимом выводе chain-of-thought он пишет совершенно другое. Он «думает» одно, но «говорит» другое.

В Anthropic выражают «достаточную уверенность» в том, что такое поведение обусловлено стремлением модели использовать неподобающие методы для выполнения задачи, а не какой-либо скрытой долгосрочной целью. Mythos ни в чем не замышляет. Он просто чрезвычайно эффективен в выполнении заданий и при этом абсолютно не осознаёт, где проходят границы. Помощник, лишенный чувства меры, но обладающий всемогуществом, может оказаться гораздо сложней в контроле, чем ИИ со злым умыслом.

Project Glasswing: куём щит из копья

Anthropic решил не прятать Mythos в сейф.

7 апреля они анонсировали Project Glasswing (названный в честь стеклянной бабочки с почти прозрачными крыльями, что символизирует идею сделать так, чтобы программные уязвимости «не могли укрыться»), предоставив версию Mythos Preview примерно 40 проверенным организациям для работы над оборонительной кибербезопасностью.

Стартующие партнеры: Amazon Web Services, Apple, Microsoft, Google, NVIDIA, Cisco, CrowdStrike, Palo Alto Networks, JPMorgan Chase и Фонд Linux. Практически весь истеблишмент Кремниевой долины и Уолл-стрит оказался в списке. Anthropic обязалась предоставить кредит на использование объемом до 100 млн долларов США и пожертвовать 4 млн долларов фондам обеспечения безопасности открытого кода, таким как OpenSSF и Alpha-Omega.

Логика следующая: способности уровня Mythos распространятся среди открытых моделей в течение от 6 до 18 месяцев, после чего ими сможет воспользоваться кто угодно. Вместо того чтобы ждать этого дня, лучше дать защитникам преимущество в переходный период и оперативно устранить все возможные уязвимости заранее.

Руководитель направления кибербезопасности фронт-редтема Anthropic Нью Ченг говорит прямо: цель состоит в том, чтобы заставить организации привыкнуть применять подобные способности для обороны еще до начала их массового внедрения. Поскольку данные навыки неизбежно станут повсеместными, остаётся лишь вопросом времени.

Уолл-стрит сначала впадала в панику, затем облегченно выдохнула.

После публикации утечки 27 марта акции кибербезопасности провались вниз, но после официального объявления Anthropic о запуске Glasswing и включения CrowdStrike и Palo Alto Networks в список стартовых партнеров котировки обеих компаний взлетели на 6,2% и 4,9% соответственно, а после закрытия торгов добавили еще 2%. JPMorgan подтвердил рейтинг «покупки» для обеих компаний; по оценке аналитика Брайана Эссеса, CrowdStrike и Palo Alto позиционируются как фундаментальный слой оборонительного стека, а не объекты для конкуренции.

Однако это лишь временное обезболивающее. С начала года акции обеих компаний все равно снизились на 9,7% и 7,8% соответственно.

Когда риск ИИ становится риском финансовой системы

Вернемся к 8 апреля, штаб-квартира Минфина в Вашингтоне.

Бессент и Пауэлл пригласили исключительно банки, имеющие системное значение. Подобного уровня собрания прежде устраивались, пожалуй, исключительно во времена финансовых кризисов или пандемий. Теперь за одним столом обсуждают сетевой потенциал атак конкретной ИИ-модели.

Причина очевидна: если способности уровня Mythos попадут в руки злоумышленников, они смогут обнаружить нулевые уязвимости в критической инфраструктуре крупного банка и написать рабочую вредоносную программу всего за несколько часов. Традиционная парадигма защиты киберпространства базировалась на предположении, что выявление и эксплуатация уязвимостей требуют огромного количества времени и высокоспециализированных кадров. Искусственный интеллект переворачивает эту аксиому.

Кейси Ньютон из Platformer цитирует главного продукт-офицера компании Corridor Алекса Стамоса: «Открытые модели примерно через шесть месяцев догонят закрытые передовые разработки в части обнаружения уязвимостей».

Еще больше регуляторов тревожит факт, признанный самой Anthropic в System Card: их самая продвинутая система тестирования не смогла своевременно выявить самые опасные поведения ранней версии Mythos. Самые серьезные инциденты были пойманы не на этапе проверки, а при внутреннем практическом использовании.

Неудобное условие

Если разобрать базовую логику Glasswing, она оказывается крайне спорной: чтобы защитить мир от атак со стороны опасных ИИ-моделей, вам сначала придется создать саму эту опасную модель.

Ньютон из Platformer указал на факт, упущенный из виду большинством публикаций: сейчас частная корпорация владеет возможностями эксплуатации критических нулевых уязвимостей практически во всех известных разработках программного обеспечения. Сама по себе такая концентрация является риском. Мотивы тех, кто стремится украсть веса модели Anthropic, резко возросли.

А происходит всё это в среде, где регулирование ИИ фактически существует лишь на бумаге. Anthropic сообщает, что уже уведомила CISA (Управление кибербезопасности и инфраструктуры США) и Министерство торговли. Однако, судя по текущим публикациям, правительство пока не демонстрирует срочности, соответствующей масштабу угрозы. Как сообщил Axios инсайдер из госструктур, знакомый с ситуацией вокруг Mythos: «Вашингтон управляется посредством кризисов. Пока кибербезопасность не превратится в настоящую катастрофу, она не получит надлежащего внимания и ресурсов, оставаясь второстепенным вопросом».

Именно эту концепцию положил в основу создания Anthropic Дарио Амоди: позволите лаборатории, ставящей безопасность на первое место, первыми столкнуться с наиболее опасными технологиями, и тогда появится шанс построить линии обороны до того, как их получат остальные. Mythos и Glasswing действительно развиваются именно по этому сценарию.

Но сможет ли теория опередить реальность? Никто не знает. Anthropic планирует сначала развернуть новые средства защиты на будущей модели Opus, поскольку та «не будет представлять такого же уровня риска, как Mythos». В конечном счете общественность все равно получит аналоги возможностей уровня Mythos, но лишь после того, как системы защиты будут должным образом подготовлены.

Как долго продлится временное окно? Стамос дает оптимистичную оценку: «Если мы лишь на шаг превзошли человеческие возможности, значит, существует огромный, но конечный пул уязвимостей, которые можно обнаружить и исправить».

Размер этого «если» огромен.

От ошибки конфигурации CMS 26 марта до экстренного созыва министром финансов США стенографии Уолл-стрит 8 апреля. За две недели ИИ-модель из технологических новостей Кремниевой долины превратилась в тему финансовой безопасности в Вашингтоне.

По словам Стамоса, у защитников есть примерно полгода переходного периода. Через шесть месяцев открытые модели догонят лидеров, и тогда эти способности перестанут быть привилегией лишь нескольких корпораций.

То, сколько уязвимостей удастся устранить за эти полгода, определит правила игры на ближайшем этапе.