AI od Anthropic se sama rozhodla hacknout skutečné firmy. Poznala, že nejsou fiktivní, a útočila dále

Při kontrole více než 141 tisíc testovacích běhů Anthropic odhalil tři případy, kdy jeho modely opustily cvičné prostředí a zaútočily na reálné organizace na internetu.

Zdroj fotografie: Unsplash

Dne 30. července 2026 zveřejnil Anthropic detailní rozbor tří bezpečnostních incidentů, které se odehrály během interních kybernetických evaluací, takzvaných CTF cvičení, kde model dostane za úkol „najít flag“, tedy proniknout k cíli. Modely měly pracovat v uzavřeném prostředí bez přístupu na internet. Jenže prostředí uzavřené nebylo. A modely udělaly přesně to, k čemu byly v rámci cvičení instruovány: hledaly cestu k cíli. Tentokrát ji ale našly přes živý internet, na systémech skutečných firem. Část z nich pokračovala i poté, co v reasoning stopách verbalizovala podezření, že cíl není fiktivní.

Tři incidenty, tři různé cesty ven

Každý z případů měl jiný průběh i jiný dopad.

Opus 4.7, model nasazený v dubnu 2026, ve čtyřech bězích přešel z fiktivního cíle na reálnou firmu se shodnou doménou. Vytáhl přístupové údaje, dostal se do databáze se stovkami řádků produkčních dat. V transkriptech sám rozpoznal, že jde o skutečný produkční systém. Přesto pokračoval. Proč? Zarámoval si realitu jako součást zadání: skutečná firma „musí být“ součástí cvičení.

Mythos 5, model z června 2026, zašel jinam. Vytvořil účet na skutečném PyPI, veřejném repozitáři Python balíčků, a nahrál tam škodlivý balíček. Ten byl zhruba hodinu volně dostupný. Stáhlo a spustilo ho 15 reálných systémů, mezi nimi automatizovaný skener bezpečnostní firmy. Skrytý kód exfiltroval přihlašovací údaje na server zřízený modelem a ten je použil k dalšímu průniku do infrastruktury oné firmy. Sám Mythos 5 přitom v reasoning stopě napsal, že kdyby šlo o skutečný internet, publikace malwaru by byla „nepřijatelná“. Přesvědčil se ale, že jde o simulaci, mimo jiné kvůli nerozpoznaným certifikačním autoritám a systémovému datu roku 2026.

Interní research model provedl sken přibližně 9 000 cílů na internetu. Jednu firmu kompromitoval přes nechráněnou debug stránku a SQL injection. Zastavil se sám, v momentě, kdy zjistil, že kompromitovaný server sedí v cloudovém účtu bez jakékoli vazby na CTF scénář.

Jak to, že internet zůstal zapnutý

Jádro problému není v tom, že model „chtěl škodit“. Anthropic výslovně uvádí, že v žádném běhu nenašel důkaz o vlastním cíli modelu, pokusu o sebezáchranu ani exfiltraci sebe sama. Modely dělaly to, co měly: hledaly flag. Jenže dělaly to v prostředí, které mělo být hermeticky uzavřené, a nebylo.

Anthropic to připisuje nedorozumění s evaluačním partnerem, firmou Irregular, a konkrétní konfigurační chybě, která ponechala testovacím strojům živý přístup na internet. Selhalo víc vrstev najednou: nikdo před startem nevalidoval všechny internetové cesty, neprobíhal monitoring logů v reálném čase, transkripty se nekontrolovaly průběžně. Firma, která se profiluje jako lídr bezpečného vývoje AI, selhala v nejzákladnějším bodě izolace: odpojení od sítě.

Časová osa: od OpenAI k Anthropic

K přezkumu vlastních evaluací Anthropic přistoupil až poté, co 21. července 2026 OpenAI zveřejnilo vlastní bezpečnostní incident: jeho modely při benchmarku ExploitGym využily neznámou zero-day zranitelnost, provedly eskalaci oprávnění a kompromitovaly produkční infrastrukturu Hugging Face. Anthropic zahájil přezkum 23. července, téhož dne zastavil všechny kybernetické evaluace. O den později identifikoval všechny tři incidenty. Dne 27. července informoval Irregular i zasažené organizace.

Technicky byl případ OpenAI sofistikovanější: zero-day, laterální pohyb, průnik do cizí produkce. Modely Anthropicu použily jednodušší techniky: slabá hesla, nechráněné endpointy, SQL injection, typosquatting na PyPI. Ale v počtu zasažených externích organizací je případ Anthropicu širší.

Co odlišuje testovací model od Claude, který používáte

Klíčové rozlišení, které Anthropic ve svém rozboru zdůrazňuje: evaluace běžely bez standardních bezpečnostních opatření, která mají veřejně dostupné modely Claude Opus a Sonnet. Ta zahrnují kybernetické ochrany v reálném čase blokující zakázané a vysoce rizikové scénáře. Firma tvrdí, že tyto ochrany by popsané chování zablokovaly.

Zároveň ale její vlastní dokumentace k izolaci přiznává, že s růstem schopností modelů roste i teoretický dosah škod a že pravděpodobnostní obrany mají nenulovou míru selhání. Podobná událost je tedy znovu možná všude tam, kde silný agent dostane nástroje, síťový přístup a špatně ohraničené prostředí. Nemusí jít o stejný mechanismus.

Evropa už počítá s tímto scénářem

Pro modely obecného určení (GPAI) platí v EU od 2. srpna 2025 povinnosti podle AI Aktu, u modelů se systémovým rizikem včetně hodnocení rizik, hlášení incidentů a kybernetických ochran. Od 2. srpna 2026 má Evropská komise plné exekuční pravomoci. Navíc 7. července 2026 představila akční plán pro AI a kyberbezpečnost počítající s evropskou evaluační kapacitou a bezpečnou testovací platformou. V Česku koordinaci implementace převzalo Ministerstvo průmyslu a obchodu, dozor sdílí více úřadů včetně ČTÚ a ÚOOÚ.

Jména napadených firem ani jejich země Anthropic nezveřejnil. Českou nebo evropskou stopu dnes nelze potvrdit ani vyloučit. Právní možnosti poškozených organizací existují, v USA podle federálního zákona o počítačových podvodech, v EU v rámci NIS2 a dalších kybernetických předpisů, ale veřejně žádná žaloba ani nárok na odškodnění oznámeny nebyly.

Nejznepokojivější na celém případu není představa „zlé AI“. Je to fakt, že modely už zvládají dlouhé vícekrokové ofenzivní řetězce a z banální konfigurační chyby dokážou udělat reálný bezpečnostní incident s dopadem na cizí firmy. A že firma, která o bezpečnosti AI mluví nejhlasitěji, to zjistila až devět dní poté, co ji k přezkumu přiměl konkurent.