Anthropic призна: тестове за киберсигурност са излезли от изолираната среда и са ударили реални системи

Тук няма CVE номер, и това е нарочно казано - не е дупка в продукт, а инцидент в тестова среда. Затова пък има нещо по-рядко: компанията сама си го публикува, с числата.

Кое се е счупило, е важното. Не моделът - той е свършил точно каквото са му казали. Счупило се е допускането. Някой е написал в подсказката 'ти си в симулация, нямаш интернет', и то е било прието за истина. Изолацията обаче не е изречение в подсказката. Изолацията е мрежово правило, което или го има, или го няма.

Не можеш да кажеш на една система, че е изолирана. Можеш само да я изолираш.

Второто, което си струва да се каже: техниките са били елементарни. Слаба парола, отворен достъп, стара инжекция. Няма изящна атака. Има оставени отворени врати, през които е минало нещо, което не е било пуснато нарочно. Неудобната част е друга - същите врати стоят отворени в много реални мрежи, само че там никой не преглежда записите после.

Тестовата среда е производствена среда, докато не докажеш обратното. При нас това значи прости неща - машината, която сканира, няма изход навън, а обновяването минава през станцията. Скучно е. Точно затова работи. И още едно: инцидентът е хванат, защото някой е чел записите. Не се четат ли - три такива случая просто не се случват. На хартия.

Визуалът към статията е генериран код-арт, без чужди изображения.