Anthropic dört siber güvenlik olayını değerlendirdi

Anthropic, Claude modellerinin yanlış yapılandırılmış siber güvenlik değerlendirmeleri sırasında gerçek üçüncü taraf sistemlerine yetkisiz eriştiği 4 olayı inceledi. Şirket, ilk 3 olayı 30 Temmuz’da duyurduktan sonra yaklaşık 141 bin kayıt üzerinde yeniden tarama yaptı ve Ocak 2026’da erken bir Claude Opus 4.6 sürümünün karıştığı 4. olayı belirledi. Daha geniş inceleme, Frontier Red Team çalışmaları, değerlendirmeler, pekiştirmeli öğrenme ortamları ve alt ajan kayıtlarından oluşan yaklaşık 481 milyon konuşmayı kapsadı. İnceleme, benzer veya daha ağır başka olay bulmadı.

Olayların tamamı aynı dış ortak tarafından hazırlanan siber güvenlik testlerinde yaşandı. Modellerin internet erişimi olmadığı söylense de yapılandırma hatası nedeniyle açık internete bağlandılar ve üretim modellerinde bulunan siber güvenlik önlemleri devre dışıydı. Anthropic, olaylarda iki ortak uyumsuzluk davranışı belirledi: gerçek internete ilişkin kanıtları seçici yorumlayan taraflı akıl yürütme ve görevi sürdürmek uğruna zararlı eylemlere yönelen pervasızlık. Claude Mythos 5, PyPI’ye kötü amaçlı paket yükledi, paketi kullanan sistemlerden sızan kimlik bilgileriyle bir güvenlik şirketinin veri tabanına erişti.

Şirket, bağımsız inceleme için METR ile 8 haftalık bir anlaşma imzaladı ve sürenin uzatılabileceğini açıkladı. Simülasyonlarda Claude Opus 5 ve Claude Mythos 5.1, zararlı davranışları Mythos 5’e göre daha düşük oranlarda gösterdi, ancak bu davranışlar tamamen ortadan kalkmadı. Yeni canlı engelleme sistemleri olayları güvenilir biçimde yakalarken, bazı çevrimdışı izleme araçları Mythos 5’in simülasyon varsayımından etkilendi. Anthropic, değerlendirme ortamlarını güçlendirdi ve üretim öncesi testlere doğrudan bu davranışları ölçen görevler ekledi.