סוכני AI של הסטארטאפ Cathedral חדרו למערכות הפנימיות של אנתרופיק דרך תוכנת צד שלישי

סטארטאפ אבטחת הסייבר Cathedral הפעיל סוכני AI כדי לחדור למערכות הפנימיות של אנתרופיק, החברה שמפתחת את Claude. לפי דיווח של THE DECODER, שמתבסס על טיוטת דוח שה-Washington Post עיין בה, הפריצה לא עברה דרך המערכות של אנתרופיק עצמה. היא עברה דרך תוכנות ניהול ומכירות חיצוניות שהחברה משתמשת בהן. כל זה נעשה במסגרת תוכנית ה-bug bounty של אנתרופיק, כלומר התוכנית שמתגמלת חוקרים שמאתרים ומדווחים על פרצות אבטחה.

מה נחשף

את Cathedral הקימו עובדים לשעבר ב-DOGE, מחלקת ייעול הממשל האמריקאית, והיא מוכרת כלי אבטחה מבוססי AI לגופי ממשל ולחברות. לפי הדוח שלה, סוכני AI שהריצו מודלים מתקדמים מצאו בתוך פחות משתים-עשרה שעות דרכים להגיע לתמלולי פגישות, לנתוני שכר, למשרות פתוחות ולהודעות Slack.

אנתרופיק אישרה שהחוקרים קיבלו גישה למספר מוגבל של מערכות מכירות, משאבי אנוש ו-IT. בין השאר נחשפו פרטי קשר של חלק מהלקוחות והשותפים ונתונים בסיסיים של חשבונות משתמשים. לדברי החברה, שיחות עם Claude, קוד המקור ומשקלי המודלים (הפרמטרים המאומנים שמהם מורכב המודל) לא נחשפו. אנתרופיק סגרה את נקודות הגישה הפגועות ביום שבו גילתה את הפריצה, השביתה את תוכנות הצד השלישי עד שהבעיה תוקנה ודיווחה לרשויות הפדרליות בארה"ב.

שתי גרסאות

הצדדים חלוקים כמעט בכל פרט. לפי Cathedral, האירוע כולו נמשך פחות משתים-עשרה שעות. לפי אנתרופיק, ניסיונות התקיפה נמשכו כמה ימים. לוגן גרהם, חבר ה-red team של אנתרופיק (הצוות שתוקף את מערכות החברה כדי לאתר חולשות), אמר ש-Cathedral פנתה לתוכנות הצד השלישי רק אחרי ימים של ניסיונות לחדור למערכות של אנתרופיק עצמה. לדבריו, הסטארטאפ מצא שם שתי פרצות ודיווח רק על אחת מהן, ואת השנייה אנתרופיק גילתה ותיקנה בעצמה.

אנתרופיק טוענת ש-Cathedral הפרה את כללי התוכנית כשלא דיווחה על כל הממצאים. לדברי גרהם, תקיפה של ספקים חיצוניים ושליפת מידע חרגו מההגנה המשפטית (safe harbor) שהתוכנית מעניקה לחוקרים, אף שהוא בירך על גילוי הפרצות. Cathedral מצדה טוענת שפעלה לפי הנהלים המקובלים במחקר אבטחה.

גם היקף החשיפה שנוי במחלוקת. וויל דפו, עובד OpenAI לשעבר, טען שאנתרופיק ממעיטה בחומרת האירוע. לדבריו, מקורות שהוא מחשיב אמינים מאוד סיפרו לו ש-Cathedral השיגה הרשאות מנהל מלאות ב-Slack של החברה, יכלה לקרוא כל הודעה ולהתחבר לכל חשבון משתמש. גרהם השיב שהמקורות של דפו טועים וסירב לפרט, בנימוק שמדובר בעניין רגיש. עם זאת הוא הסכים עם הטענה המרכזית של דפו, שלפיה התעשייה נאלצת כעת לבנות את האבטחה שלה מחדש בכל שנה.

אלכס סטמוס, מנהל אבטחת המידע של סטארטאפ ה-AI Cognition, שמשתמש במודלים של אנתרופיק, אמר ל-Washington Post שהממצאים משמעותיים. לדבריו, אפליקציות צד שלישי משולבות הן בעיה רחבה בכל התעשייה, ואנתרופיק הייתה יכולה לאבטח טוב יותר את השירותים החיצוניים שלה.

למה זה חשוב

הסיפור ממחיש שתי מגמות. הראשונה היא שגם מעבדות ה-AI המובילות חשופות דרך התלויות החיצוניות שלהן, כמו מערכות CRM, כלי משאבי אנוש ופלטפורמות תקשורת, שאינן בשליטתן המלאה. השנייה היא שסוכני AI כבר משמשים בפועל לתקיפה. הם יכולים לסרוק רשתות ארגוניות מסביב לשעון ובעלות נמוכה.

לגרהם הייתה אזהרה בעניין: לדבריו, תוקפים כבר מריצים סוכני AI מסביב לשעון ומכוונים במיוחד לתלויות חיצוניות. גם מודלים שנמצאים חצי דור עד דור שלם מאחורי החזית מספיקים לתקיפות כאלה, והוא העריך שליריבים עתידיים יהיו בהכרח מערכות חזקות יותר. אם אנתרופיק, שנחשבת לאחת החברות המוכנות ביותר להתגונן מפני תקיפות מבוססות AI, נפרצה בדרך הזו, ככל הנראה ארגונים עם משאבי אבטחה קטנים בהרבה חשופים עוד יותר.