Jak agenci AI złamali Anthropic w 12 godzin

Startup zajmujący się cyberbezpieczeństwem opartym na sztucznej inteligencji — Cathedral — potwierdził w poniedziałek, że jego badacze dostali się do wrażliwych systemów wewnętrznych Anthropic, twórcy modelu Claude. Cała operacja zajęła mniej niż dwanaście godzin. Kluczowe jest jednak to, że wejście nie nastąpiło przez modele AI ani przez kod źródłowy firmy, lecz przez oprogramowanie biznesowe dostawców zewnętrznych. Sprawa wywołała publiczny spór między obiema spółkami o zakres incydentu, transparentność oraz implikacje dla bezpieczeństwa narodowego.

Gdzie faktycznie doszło do włamania

Cathedral nie złamało zabezpieczeń samego Claude’a ani wag modeli. Wejściem okazały się platformy HR, systemy CRM dla działów sprzedaży, narzędzia do zarządzania IT oraz aplikacje do współpracy — czyli warstwa administracyjna, z której korzysta praktycznie każda duża organizacja technologiczna. To właśnie tam agenci AI znaleźli ścieżkę do danych.

Zgodnie z projektem raportu, do którego dotarł „The Washington Post”, badacze najpierw przez kilka dni próbowali bezpośrednio sforsować systemy Anthropic — bez skutku. Przełom nastąpił po zmianie kierunku ataku na ekosystem zewnętrznych dostawców. Od tego momentu agenci autonomicznie mapowali dostępne ścieżki i w ciągu niespełna dwunastu godzin dotarli do wrażliwych zasobów: transkryptów spotkań wewnętrznych, informacji o wynagrodzeniach i ofertach pracy oraz dyskusji na Slacku dotyczących zaawansowanych modeli AI. W zasięgu znalazły się również dane kontaktowe biznesowe części klientów i partnerów.

Anthropic podkreśliło, że jego własne systemy monitoringu wychwyciły część aktywności Cathedral jeszcze przed formalnym zgłoszeniem. Firma wyłączyła dotknięte oprogramowanie tego samego dnia, poinformowała przedstawicieli władz federalnych i przywróciła usługi dopiero po potwierdzeniu przez dostawców wdrożenia poprawek. Spółka nie znalazła dowodów, by ktoś spoza Cathedral wykorzystał te same luki. Jednocześnie jasno wskazała, czego atak nie objął: rozmów użytkowników Claude’a, kodu źródłowego ani wag modeli.

Spór o zakres i sposób ujawnienia

Incydent przeprowadzono w ramach programu bug bounty Anthropic, w którym firma płaci zewnętrznym badaczom za wykrywanie i zgłaszanie podatności. Cathedral przekazało wyniki zarówno Anthropic, jak i poszkodowanym dostawcom. Anthropic zarzuca jednak startupowi naruszenie warunków programu — miało nie opisać w pełni zakresu działań w swoich systemach. To znane napięcie w branży bezpieczeństwa: badacze wykraczający poza ustalone ramy mogą narazić się na konsekwencje prawne, a firmy czasem reagują na takie zgłoszenia pozwem zamiast wypłatą nagrody. Do momentu publikacji raportu Anthropic nie złożyło skargi prawnej.

Spółka stwierdziła również, że Cathedral wyolbrzymiło znaczenie swoich ustaleń dla bezpieczeństwa narodowego. Rzeczniczka startupu odmówiła komentarza w tej sprawie.

Kim jest Cathedral i dlaczego to ma znaczenie

Cathedral to młody startup cyberbezpieczeństwa nastawiony na zastosowania wojskowe i rządowe. Założyło go czterech byłych pracowników Departamentu Wydajności Państwowej (DOGE): Gavin Kliger, Luke Farritor, Marko Elez i Jack Stein. Firma ma już kontrakty z trzema agencjami federalnymi.

Najwięcej wspólnej historii z Anthropic ma Kliger. Po odejściu z DOGE objął stanowisko dyrektora ds. danych w Pentagonie w marcu 2026 roku. W tym okresie doszło do głośnego sporu między Departamentem Obrony a Anthropic dotyczącego ograniczeń w wykorzystaniu modeli firmy w systemach federalnych — Kliger miał w nim uczestniczyć właśnie jako szef danych DoD. Włamanie dodaje tej historii kolejny wymiar: urzędnik Pentagonu, który spierał się z Anthropic o dostęp do AI, później — już w sektorze prywatnym — pokazał, że administracyjne systemy firmy da się osiągnąć odpowiednią techniką.

Marko Elez zwrócił na siebie uwagę opinii publicznej na początku 2025 roku, gdy zrezygnował z DOGE po ujawnieniu rasistowskich wpisów w mediach społecznościowych, a następnie został ponownie zatrudniony po publicznym poparciu ze strony Elona Muska i wiceprezydenta JD Vance’a. Luke Farritor zasłynął z kolei pracą z 2023 roku, w której wykorzystał AI do odczytania nieczytelnych dotąd tekstów ze zwęglonych zwojów z Herkulanum, zdobywając nagrodę w międzynarodowym Vesuvius Challenge.

Mimo krótkiej działalności Cathedral przyciągnął poważny kapitał: według PitchBook pozyskał 160 mln dolarów przy wycenie 1,4 mld dolarów, z udziałem Andreessen Horowitz i Sequoia Capital. W zarządzie zasiadają sojusznicy Trumpa — Marc Andreessen i Shaun Maguire, o czym informował Gizmodo.

Dlaczego agenci AI przyspieszają ataki na oprogramowanie firmowe

Technika Cathedral — autonomiczne mapowanie i wykorzystywanie ekosystemu oprogramowania biznesowego ofiary, by obejść wzmocniony główny obwód — to udokumentowane przyspieszenie znanego od lat schematu. Ataki łańcucha dostaw zawsze celują w najsłabsze ogniwo sieci zaufanych dostawców. Klasyczne przykłady działają według tej samej logiki: włamanie do Target w 2013 roku przez firmę HVAC, kompromitacja SolarWinds w 2020 roku, która dotknęła około 18 tysięcy organizacji za sprawą zatrutego update’u, oraz NotPetya rozprzestrzeniająca się globalnie przez aktualizację ukraińskiego oprogramowania księgowego. W każdym przypadku główny cel miał silne zabezpieczenia, ale jego otoczenie — nie.

Nowością, którą wnoszą agenci AI, są szybkość i autonomiczna równoległość. Człowiek mapujący integracje — sprawdzający, który CRM łączy się z którą platformą HR, które narzędzie IT przechowuje jakie poświadczenia, gdzie integracje Slacka przekazują dane — jest ograniczony czasem i uwagą. Agenci działający samodzielnie potrafią przejść te integracje jednocześnie, łańcuchowo wykorzystywać luki w połączonych usługach i dotrzeć do wrażliwych danych w godzinach, nie dniach.

„To, że słabości zwykłego oprogramowania firmowego mogą zagrozić infrastrukturze nawet najbardziej zaawansowanych organizacji, powinno być sygnałem ostrzegawczym dla każdej firmy w Ameryce” — stwierdzono w projekcie raportu Cathedral.

Alex Stamos, dyrektor ds. bezpieczeństwa informacji w Cognition i były szef bezpieczeństwa Facebooka, przeanalizował projekt raportu dla „The Washington Post”. Według niego badanie ujawniło słabości w sposobie zarządzania przez Anthropic integracjami z zewnętrznym oprogramowaniem — ale krytyka ta dotyczy szeroko całej branży technologicznej, nie tylko tej jednej firmy.

Bezpieczeństwo narodowe i strukturalny problem łańcucha dostaw

Ustalenia Cathedral krążyły w rządzie federalnym. Wysoki urzędnik administracji Trumpa, mówiąc anonimowo, przekazał „The Washington Post”, że wyniki wzbudziły obawy o bezpieczeństwo narodowe, a administracja współpracuje ze startupem nad scenariuszami wrogiego wykorzystania AI. Potencjał wrogich aktorów do sięgania po wewnętrzne zasoby laboratoriów AI porównał do dostępu do materiału „niemal klasy broni jądrowej”.

To odzwierciedla stanowisko, które amerykańscy urzędnicy prezentują także w innych kontekstach: czołowe laboratoria AI weszły do kategorii strategicznej, w której wagi modeli, pipeline’y treningowe i własne badania mają wymiar bezpieczeństwa narodowego wykraczający poza wartość komercyjną. Konkretna obawa dotyczy Chin — państwowo sponsorowani hakerzy mieliby używać identycznych technik agentowych do przechodzenia tych samych powierzchni ataku w laboratoriach AI i sięgania po dane, których żadne komercyjne ramy zgłaszania incydentów nie zostały zaprojektowane do ochrony. Anthropic zakwestionowało tę narrację w odniesieniu do konkretnych ustaleń Cathedral, utrzymując, że osiągnięte systemy miały charakter administracyjny.

Najgłębsza implikacja jest strukturalna. Laboratoria AI mocno inwestują w ochronę rdzenia: wag modeli, pipeline’ów treningowych, kodu źródłowego, infrastruktury wnioskowania. To słuszne, bo te zasoby są strategicznie kluczowe. Incydent pokazuje jednak, że atakujący, który nie może dotrzeć do rdzenia bezpośrednio, może zrobić to pośrednio — przez warstwę administracyjną łączącą laboratorium z dostawcą HR, CRM, platformą IT i narzędziami współpracy. Ta warstwa nie podlega bezpośredniej kontroli laboratorium. Jej bezpieczeństwo zależy od praktyk każdego dostawcy, jego tempa wdrażania poprawek i czasu reakcji na wykrytą lukę. Laboratorium może wzmocnić wszystko, co samo buduje — nie wzmocni oprogramowania, które kupuje.

Kompromitacja SolarWinds w 2020 roku dowiodła, że zaufane kanały aktualizacji mogą dostarczyć złośliwy kod do wzmocnionych celów. Ćwiczenie Cathedral z 2026 roku pokazuje, że agenci AI potrafią systematycznie sondować relacje z dostawcami i znaleźć wykorzystywalną ścieżkę w mniej niż dwanaście godzin — przy koszcie i złożoności dostępnych dla podmiotów znacznie słabiej wyposażonych niż państwo. Anthropic niedawno złożyło wniosek o IPO i znajduje się w centrum debat o polityce AI w USA, więc istotne incydenty bezpieczeństwa mogą wymagać ujawnienia w przyszłych dokumentach dla SEC. Proces łatanie u dostawców wciąż trwa.

Szerszy obraz: incydenty w branży AI w 2026 roku

Ujawnienie Cathedral wpisuje się w serię zdarzeń bezpieczeństwa w laboratoriach AI z tego roku. Chińskojęzyczny aktor użył agentów opartych na DeepSeek i Claude Code do kampanii wymierzonej w ponad 1200 sklepów e-commerce w USA, Kanadzie, Australii i Japonii, skutecznie łamiąc zabezpieczenia ponad stu z nich — przy łącznym koszcie dla atakującego około 5 tysięcy dolarów, jak podała agencja Reuters, cytując raport firmy NorForge. Metody obejmowały agentów działających na minimalnych promptach, kosztujących około 50 dolarów za udane włamanie i średnio 23 godziny na zakończoną intruzję.

W OpenAI były inżynier — Saudyjczyk Abdulrahman Alfozan — został aresztowany 9 października 2026 roku pod zarzutem potajemnego umieszczenia urządzenia nagrywającego w zastrzeżonej sali konferencyjnej firmy. Według dokumentów sądowych prokuratura twierdziła, że Alfozan miał kontakt z członkiem saudyjskiej rodziny królewskiej, który miał go rekrutować do saudyjskiej inicjatywy AI. Śledztwo FBI trwa. Anthropic doświadczyło wcześniej w 2026 roku innych wpadek: szczegóły nieopublikowanego modelu i wewnętrznego wyjazdu kadry zarządzającej znaleziono w niezabezpieczonym magazynie danych, a kod źródłowy narzędzia Claude Code — około 512 tysięcy linii — przypadkowo ujawniono.

Wzorzec jest spójny: organizacje AI generują zasoby o szybko rosnącej wartości strategicznej i komercyjnej, a otaczająca je infrastruktura bezpieczeństwa — zarówno rdzeniowa, jak i peryferyjna — znajduje się pod stałą, coraz bardziej zaawansowaną presją.

Co dalej

Przed Anthropic stoi dokończenie procesu łatanie u dostawców, utrzymanie briefingów z urzędnikami federalnymi i żeglowanie w sporze publicznym z Cathedral, który na razie nie przyniósł pozwu z żadnej strony. Opis incydentu jako dotyczącego wyłącznie peryferyjnych systemów administracyjnych jest technicznie trafny. Ćwiczenie Cathedral dowodzi jednak, że obwód laboratorium AI jest tak silny, jak najsłabsza integracja z dostawcą.

Cathedral ze swojej strony złożył ustalenia, powiadomił poszkodowanych dostawców i przedstawia ćwiczenie jako proof of concept, a nie wrogą operację. Zespół założycielski, kontrakty nastawione na wojsko i inwestorzy wskazują na firmę, która chce przekonać klientów rządowych i korporacyjnych, że agenci AI trwale zmienili model zagrożeń dla organizacji, których rdzeń jest zbyt dobrze chroniony, by go złamać bezpośrednio. Dla każdej firmy dzielącej ten sam ekosystem oprogramowania biznesowego co Anthropic — czyli dla praktycznie każdej dużej spółki technologicznej — dwunastogodzinne ćwiczenie jest udokumentowanym dowodem koncepcji, a nie zamkniętym zdarzeniem.