ИИ, взломавший Anthropic, занял всего 12 часов: не модель, а купленное ею офисное программное обеспечение.

Давайте проясним:Это не вторжение. Это санкционированный тест.Кафедральный собор сделал это в проекте отчетности об утечке, который Антропик создал сам (авторизованный канал для внешних исследователей), и о нем сообщали друг другу в процессе. Слово «прорыв» является мощным словом, но оно может привести к неправильному пониманию природы риска.

Количество «12 часов» смотреть не стоит. Еще один более простой вопрос:Где компания, которая сделала модель безопасной для отрасли?Ответ - из офисного программного обеспечения, которое он купил.

Значение этого здесь: оно превращает «безопасность цепочки поставок» из правильного слова в конкретный путь, который можно нарисовать.

I. Фактический уровень: кто, что, что получить

Cathedral является охранной компанией, которая существует уже несколько месяцев, и четыре соучредителя, Гэвин Клигер, Люк Фарритор, Марко Элез и Джек Стейн, были бывшими сотрудниками DoGE, а Клигер был главным офицером данных Пентагона. В июле агентство Reuters сообщило, что оно расплавило 160 миллионов долларов, оцененных в 1,4 миллиарда долларов, и получило 16z и Sequoia.

Он отправил копию в Anthropic.Проект доклада(проект доклада), читайте в Washington Post. Таким образом, все детали ниже основаны на:Это документ, который может быть изменен и не проверяется третьими лицами.

Маршрут: обойти модель, пройти через офисное программное обеспечение

Согласно отчету, умный ИИ-тело передается менее чем за 12 часов.Программное обеспечение для управления третьей сторонойСлабые стороны нашли выход во внутреннюю систему. Продажи, люди, ИТ, эти типы закулисных инструментов, они не модельная инфраструктура, они не код, который Энтони написал сам.

Имя производителя программного обеспечения и конкретные лазейки обе стороны решили не раскрывать, ссылаясь на страх перед злоупотреблениями. Это предотвратило внешнюю проверку, но также согласуется с обычной практикой раскрытия лазеек.

Второе: вещи, которые вы получаете, вещи, которые вы не получаете.

Эта рекомендация является полной, потому что наиболее широко распространенное предложение в социальных сетях, «Недостаток с внутренним обсуждением продвинутых моделей», было фактически перехвачено.

	Катедраль, доклад.	Антропный подтвержденный диапазон
Оперативные данные	Вознаграждение персонала, подробная информация, транскрипция конференции, внутренняя дискуссия Slack о передовых моделях	Продажи, HR, IT-системы, включаяДеловые контакты между выбранными клиентами и партнерамиБазовые записи учетных записей пользователей
Основные активы	Не упоминается	Клиентская подсказка, ответ Клода, исходный код, вес модели не коснулся
Делегирование полномочий	Да, проект отчетности об утечке для внешних исследователей	Да, ноПравила испытаний не были полностью соблюдены.
Его эксплуатировали другие?	Не упоминается	Никто за пределами Catedral не смог воспользоваться этими недостатками.

Эта таблица типична:Обе стороны признали, что они были "в" и что различия были "сколько" и "сколько" и "путь в несоответствии".

Формулировка Anthropic стоит прочитать слово в слово: наблюдение уже обнаружило некоторые действия до того, как было сообщено о Catedral, в тот же день доступ был отключен, а затронутое коммерческое программное обеспечение было отключено, пока производитель не подтвердил ремонт.«Деактивировать» означает больше, чем «ремонтировать».Это означает, что эти системы не работают до тех пор, пока не будут отремонтированы.

Три, "12 часов". Три отверстия.

Это та часть, которую я хочу открыть. Фраза «AI 12 часов, чтобы сломать X» становится новым маркетинговым синтаксисом.

Первое отверстие: с какого момента?

В отчете не указана отправная точка 12 часов. Засчитывается ли этап разведки? Засчитывается ли цель? Засчитывается ли предварительное знание структуры продукта SaaS?Любой из этих трех ходов в таймер совершенно другой.

Вторая дыра: сколько людей это сделали?

В докладе говорится, что это было сделано умным телом ИИ. Но кто вырезал хребет, выяснил, как и когда его остановить — ничего из этого не было написано. В отличие от аналогичных случаев, о которых сообщалось ранее, фактический уровень автономии, как правило, намного ниже уровня публичности.

Третья дыра: кто быстрее тебя?

Это самое худшее.Не было никакого сравнения человеческой красной команды на той же цели.Для опытного тестировщика не редкость настроить несколько плохо оборудованных заставок управления SaaS за один день. Без базового уровня «12 часов» нельзя назвать быстрым или медленным.

Таким образом, это число действительно подтверждает вывод, что это не «ИИ быстрее людей», а более узкое предложение:Умные тела могут считать, тестировать и прыгать горизонтально на скоростях машины, от «слабости присутствует» до «слабости найдено» окна.Это не займет 12 часов, чтобы одобрить, и это установлено.

Реальная асимметрия: ежеквартально для обороняющегося и ежечасно для агрессора

Поместите его обратно в процесс и увидите структурное несоответствие.

Ссылка	Атакующая сторона (интеллектуальная)	Оборонная сторона (предприятие)
Обнаружены слабости.	Минутный счет, без перерыва.	Ежеквартальные инфильтрационные тесты или ежегодные аудиты
Проверить юзабилити	Попробуй еще раз. Он не устанет.	Ручное суждение, ограниченное рабочим временем
горизонтальный прыжок	Достаточно неправильной конфигурации.	Сначала нужно найти неправильную конфигурацию.
Реабилитация посадок	Не нужно.	Иди по магазинам, подожди-ищи, выпусти окно
повторять	Автомат	Следующий раунд аудита

Самая медленная линия в этих часах не является технической проблемой.Вопросы бизнес-процессовЯ не знаю. Лечение Anthropic, «Закрыть первым и ждать, пока производитель исправит его», уже является самой быстрой реакцией, которую можно сделать. Но это также указывает на другое:У вас нет никаких местных средств, чтобы отключить риск, пока производитель не исправит его.

Реальная форма риска цепочки поставок — это не «незащищенность поставщика», а «незащищенность поставщика, когда вы должны закрыть его».

V. Почему политический анализ проблемы

Это не технический уровень, но он не имеет смысла.

• Все четыре основателя Catedral были бывшими сотрудниками DoGE, из которых Клигер был главным офицером данных Пентагона.
• Reuters также сообщило, что Клигер был причастен к судебному спору между министерством обороны и Anthropic.
• В основе спора лежал отказ Антропика снять ограничения Клода на некоторые виды военного применения, включая полностью автономные летальные операции и массированное внутреннее наблюдение.
• 25 сентября Федеральный апелляционный суд постановил 2 к 1, что Пентагон может исключить Anthropic из цепочки поставок.
• Высокопоставленный правительственный чиновник Трампа сообщил Washington Post, что три федеральных агентства подписали контракт с Catedral и что правительство работает с ним для изучения конфронтационного сценария ИИ.

Выставить это не значит сказать, что этот тест несправедлив — в публичном докладе нет доказательств, подтверждающих этот вывод, и я не принимаю это решение. Тем не менее, это объясняет, почему читатели спрашивают, является ли поставщик, связанный с одним из участников судебного процесса, нейтральным тестом.Ответа на этот вопрос не было, но сам вопрос был разумным.

VI. Ограниченные исправления

В одной и той же истории есть два набора фигур, почти не цитируемых, но они более показательны для места Антропика в этом деле, чем 12 часов.

1. Anthropic сообщила, что по состоянию на 2 октября в 591 проекте с открытым исходным кодом было зарегистрировано 6157 лазеек в исследованиях поддержки ИИ на дому.Это результат оборонительной стороны.
2. В ноябре 2025 года Антропик утверждал, что нападавшие с китайским национальным происхождением атаковали около 30 организаций с кодом Клода.
3. В июле этого года Антропик рассказал, что модель Клода трижды ломала реальную организацию в домашнем тесте.

Если сложить эти три вместе с «за 12 часов», то картина будет полной:Одна и та же компания является как производителем инструментов, которые автоматически ищут лазейки, так и стороной, которая автоматически идентифицируется.Это не иронично. Это нормально на данном этапе.Власть двоякая, все на этой цепи.

Семь, шесть можно проверить сегодня.

Вот список фактов, которые я составил, а не рекомендации доклада Катедрала. Приказ немедленно.

Первый этаж: Первый уровень: определение активов

• Перечислите все SaaS с привилегиями управления.Стандартом является то, кто может читать чат, HR, CRM, идентификационные данные и с кем могут встретиться игроки со стороны поставщика.
• Эта статья является частью нашей специальной рубрики Global Voices 2011.Такая интеграция является наивысшим приоритетом сокращения.

Второй этаж: сузить.

• На делегирование полномочий в рабочей области распространяется срок давности.Не давайте глобальное разрешение на чтение в течение длительного времени.
• Периодический обзор Outlook Token.Разделение, изменение обязанностей и остаточное разрешение после проекта являются наиболее распространенными точками входа.
• Кто может выключить инструмент?Anthropic остановил программное обеспечение, пока оно не было отремонтировано. Кто в вашей компании имеет такие полномочия? Сколько времени это займет? Запиши это.

Третий уровень: заполнение тестов и правил.

• Тестирование поведения скорости машины.Большое количество переписчиков, быстрая проверка разрешительных границ, ненормальные показания за короткий промежуток времени — таковы характеристики работающих разумных тел, а не человека.
• Запишите правила тестирования в документ.Объем, допустимые методы, ограничения обработки данных и механизмы остановки. Антропик говорит, что другая сторона не полностью выполнила правила, и что «неопределенные правила» часто являются источником заявлений друг друга.
• Следите за своим умным телом.Ваш кодирующий агент, агент удачи, держит те же документы. Это инструменты и лицо атаки.

Восемь слов, которые нужно запомнить.

В заглавии написано «AI Breaks Anthropic», но чтение фактов приводит к более точной версии:ИИ не сломал модель Anthropic, а прорвался через офисное программное обеспечение, которое приобрел Anthropic.

Разница не в словах. Первое повествование заставит людей думать, что это лучше, чем ИИ, а затем покупать более дорогие модели продуктов безопасности; второе повествование будет указывать на:Узнайте, что вы можете прочитать обо всех данных и что никто не помнит.Первый тратит деньги, второй тратит время, а второй зарабатывает гораздо больше.

Кроме того, необходимо сохранять сдержанность: доклад представляет собой черновик, он не проверялся независимо в течение 12 часов, а производители и связанные с ним лазейки не раскрывались. Поэтому каждое суждение в этой статье основано только на той части истории, которую признали обе стороны.Портал является сторонним программным обеспечением, которое подвергается воздействию бизнес-систем и весов моделей, а исходные коды не встречаются.Этих трех статей достаточно, чтобы изменить приоритеты самоанализа многих компаний.

Вы защищали модель, а не компанию. Граница между этими двумя вещами нарисована на каждом инструменте, который вы покупаете.