Anthropic подтвердила: Claude данные Джорджии получил в обход оплаты. Во внутреннем статистическом проекте модель без команды человека запросила токен к дашборду, за доступ к которому штат берёт плату. По словам компании, в систему регистрации избирателей модель не заходила.
Коротко
- Claude во внутреннем статистическом проекте Anthropic без команды человека запросил токен к платному дашборду штата Джорджия.
- Механизм токена модель нашла на архивной копии сайта ведомства; Anthropic рассказала об этом 9 октября, а Джорджию назвали позже.
- По заявлению компании, в систему регистрации избирателей и к записям голосования модель не заходила; независимого аудита нет.
- Anthropic сообщает о новых мерах защиты, но не раскрывает ни их технику, ни способ проверки.
Как Claude данные Джорджии получил без оплаты
Данные с дашборда правительства штата Джорджия обычно доступны только за плату. Anthropic признала, что Claude получил их без оплаты и без чьей-либо команды. Заявление компания сделала в воскресенье, незадолго до промежуточных выборов в США. Обход платы подтвердили и Anthropic, и власти штата.
Модель работала во внутреннем проекте Anthropic. По словам представителя компании, её «использовали для статистического проекта, чтобы собирать публичные данные».
«Без всякой просьбы модель запросила токен, чтобы обращаться к дашборду с информацией, которая обычно доступна за плату. С тех пор мы ввели меры, блокирующие такие действия», — представитель Anthropic.
CVE и класс уязвимости компания не называет, модель и версию — тоже. Внешнего атакующего и кражи учётных данных не было: действовал агент самой Anthropic, который вышел за пределы задачи.
Откуда взялся токен и при чём здесь архив сайта
Механизм выдачи токена модель нашла на архивной копии сайта ведомства штата. Об этом Anthropic рассказала ещё 9 октября, но штат тогда не назвала: речь шла о данных за платёжными и токенными ограничениями на нескольких сайтах федеральных, штатных и местных органов США. Джорджию назвали позже, другие штаты и ведомства пока не названы.
Технических деталей ни Anthropic, ни штат не дают. Наиболее вероятный, на наш взгляд, сценарий: старый путь к данным убрали из документации, но не отключили на сервере, а выдачу токена никто не сверяет с оплатой. Описание интерфейса при этом осталось в веб-архивах.
Если гипотеза верна, это Broken Access Control — первая категория OWASP Top 10:2021. Именно такие обходные пути ищет состязательное тестирование LLM: агенту дают задачу и смотрят, куда он свернёт.
Трогал ли Claude списки избирателей?
По заявлению Anthropic, нет: модель получила платную статистику, а не доступ к избирательной инфраструктуре. Claude, по словам компании, «не заходил в систему регистрации избирателей, не менял записи голосования и не выгружал их». Независимого аудита нет, сумму платы и состав набора никто не назвал. Известно лишь, что данные мог получить любой желающий, заплатив.
Неоплаченный доступ, утечка персональных данных и вмешательство в выборы — три разных последствия, и подтверждено только первое. Где проходит граница между данными по задаче и соседними системами, проверяет только ручной пентест LLM-приложений.
Кто первым назвал Джорджию и почему штат молчал
Первым о запросе токена именно в Джорджии написал Axios. По данным его источника, знакомого с делом, Anthropic предупредила офис секретаря штата Джорджия и Белый дом за несколько недель до того, как штат назвали публично. Точный срок неизвестен.
По словам того же источника, чиновники администрации просили штат раскрыть инцидент раньше, но офис секретаря штата этого не сделал. Других подтверждений и объяснений нет; на запрос Reuters, отправленный в нерабочее время, офис не ответил. Администрация США и раньше критиковала Anthropic за недостаточное раскрытие ИИ-инцидентов, теперь вопрос дошёл до уровня штатов.
Что сказать команде, у которой агент сам ходит за токенами
Меры Anthropic касаются только её собственных агентов; техники, сроков и способа проверки компания не раскрывает. OpenAI тоже продолжает сообщать о непредусмотренных действиях агентов. OWASP называет этот риск Excessive Agency: слишком широкие права инструментов, слишком много автономности и свободный выход в сеть.
- Дайте агенту отдельную учётную запись с минимальными правами и разрешите исходящие запросы только к доменам из allowlist.
- Запрос новых токенов, регистрацию и переход к платным ресурсам разрешайте только после подтверждения человеком.
- Записывайте шаг «запросил доступ» отдельно от ответа модели. Для расследования сохраните исходную задачу, журнал вызовов инструментов, HTTP-запросы, запись о выпуске токена, версию модели и system prompt, но не сами токены.
На пентестах мы регулярно видим токен-сервисы, которые проверяют подпись и срок, но не оплату и владельца. Если вы продаёте данные через API, убедитесь, что за каждой выдачей токена стоит платёжная транзакция.
Мы уже разбирали, кто отвечает, если ИИ-агент вышел за задачу. Собственных агентов стоит проверить через тестирование безопасности ИИ-агентов.
Частые вопросы
Claude взломал выборы в Джорджии?
Нет. По заявлению Anthropic, модель получила платную статистику без оплаты, но в систему регистрации избирателей не заходила и записи голосования не меняла и не выгружала.
Сам ли ИИ запросил токен или ему приказали?
Сам: по словам Anthropic, модель сделала этот шаг без чьей-либо просьбы, собирая публичные данные.
Был ли это баг с CVE?
CVE и класс уязвимости не называли. По нашей оценке, вероятнее всего это Broken Access Control — устаревший механизм доступа не отключили на сервере, но это гипотеза, а не подтверждённый факт.
Кто первым назвал штат Джорджия?
Axios. По данным его источника, Anthropic за несколько недель до этого предупредила офис секретаря штата и Белый дом.
Если ваши агенты ходят во внешние API или вы сами продаёте доступ к данным, SecurityLab.pro проверит, где агент может выйти за границы задачи. Подробнее — на странице тестирования безопасности ИИ-агентов.