Luki w bezpieczeństwie AI: raport Anthropic

Raport bezpieczeństwa opublikowany przez Anthropic 14 sierpnia wzbudził dyskusję w środowisku AI, ale większość uwagi skupiła się na mniej istotnych kwestiach. Analitycy i media rozpisywali się o podniesieniu oceny ryzyka katastrofalnych szkód wynikających z niedopasowania modeli (misalignment) z „bardzo niskiego” na „niskie” oraz o wewnętrznym modelu o nazwie Model 2, który nie trafi do publicznej sprzedaży. Tymczasem najpoważniejszy problem znajduje się w sekcji czwartej dokumentu i dotyczy zabezpieczeń przed wykorzystaniem AI do tworzenia broni chemicznej i biologicznej.

Jedenaście miesięcy z wyłączonymi zabezpieczeniami

Anthropic stosuje klasyfikatory blokujące, które mają uniemożliwić modelom pomaganie w konstruowaniu broni biologicznej. Systemy wyposażone w te zabezpieczenia wdrożono w maju 2025 roku. Jak się jednak okazuje, od tego momentu aż do kwietnia 2026 roku klasyfikatory w ogóle nie działały na platformach przeznaczonych do zbierania opinii od ludzi.

Skala problemu jest ogromna. Dostęp do tych platform miało około 50 tysięcy osób, które wygenerowały blisko 133 miliony interakcji. Co istotne, weryfikacją tych rozmów zajmowały się zewnętrzne firmy, a nie sam Anthropic. Raport wprost przyznaje, że wiele z tych podmiotów „nie dysponowało procesami przesiewowymi zdolnymi zatrzymać nawet aktorów zagrożeń klasy CB-1”. Większość zewnętrznych pracowników mogła prowadzić swobodne, otwarte rozmowy z modelami, a nie tylko oceniać gotowe odpowiedzi.

Mechanizm tej awarii zasługuje na szczególną uwagę. Wewnętrzna flaga, przeznaczona wyłącznie do użytku własnego firmy, wyłączała nie tylko blokowanie, ale również logowanie rozmów. Oznacza to, że ruch oznaczony tą flagą „nie był rejestrowany ani przekazywany do żadnych mechanizmów przeglądu”. Odzyskanie tych danych wymagało powrotu do surowych transkryptów. Przypis w raporcie idzie jeszcze dalej – sugeruje, że przed kwietniem 2026 roku osoba o złych intencjach mogłaby prawdopodobnie zatrudnić się u jednego z zewnętrznych dostawców, nawet na stanowisku związanym z red teamingiem (testowaniem zabezpieczeń).

Co wykazał przegląd po fakcie

Po wykryciu luki Anthropic uruchomił model Claude Sonnet 5 do przeanalizowania wszystkich rozmów prowadzonych w tym okresie. Model miał identyfikować treści o potencjalnie szkodliwym charakterze biologicznym. Wyniki? Spośród 1197 transkryptów oznaczonych jako wysokiego ryzyka, większość (757) pochodziła od zespołów samego Anthropic działających na tej samej infrastrukturze. Kolejne transkrypty, z wyjątkiem 62, stanowiły celowe ćwiczenia red teamingowe.

Pracownicy firmy ręcznie przejrzeli wszystkie 62 pozostałe przypadki oraz 30 losowo wybranych transkryptów z ćwiczeń red teamingowych. Nie znaleziono wyraźnych dowodów na szkodliwe wykorzystanie, choć raport wspomina o kilku rozmowach o potencjalnie podwójnym zastosowaniu. Anthropic twierdzi, że jest mało prawdopodobne, aby ta luka zwiększyła realne ryzyko w świecie fizycznym, częściowo dlatego, że rozmowy były przeważnie krótkie.

Jednak najważniejsze zdanie pojawia się później. Firma przyznaje, że to odkrycie „prowadzi nas do przekonania, że istnieje zwiększone prawdopodobieństwo wystąpienia innych, podobnych problemów, o których nie wiemy”. To kluczowa deklaracja, która podważa zaufanie do dotychczasowych procesów kontroli jakości.

Korekta własnego raportu i kolejny incydent

Sytuacja staje się jeszcze bardziej złożona, gdy spojrzymy na wcześniejszy raport Anthropic z lutego. Wówczas firma publikowała dokument, w którym oceniła ryzyko jako „bardzo niskie”, nie uwzględniając w ogóle platform feedbackowych jako powierzchni ryzyka. Teraz, po odkryciu luki, Anthropic skorygował własną ocenę, zmieniając ją na „niskie”. Sytuacja, w której raport bezpieczeństwa koryguje poprzedni raport bezpieczeństwa, jest niezwykle rzadka w tej branży.

Na tym jednak nie koniec. Raport opisuje drugą awarię na tych samych platformach. W kwietniu 2026 roku wpłynęło zewnętrzne zgłoszenie, po którym Anthropic potwierdził, że kilku kontraktorów z firm zajmujących się etykietowaniem danych wykorzystało lukę do uzyskania klucza API. Użyli oni modeli poza zakresem swoich zadań, w tym jednego z najpotężniejszych – Mythos Preview. Dostęp pozostawał otwarty przez kilka tygodni, a sam model działał bez blokujących klasyfikatorów biologicznych przez około dwa tygodnie. Firma opanowała sytuację w 90 minut od otrzymania zgłoszenia i zamknęła wektor ataku tego samego dnia. Nie doszło do kradzieży wag modeli, dostępu do danych klientów ani naruszenia głównych sieci.

Dlaczego ocena ryzyka faktycznie wzrosła

Anthropic tłumaczy podniesienie oceny ryzyka „niedawnymi ujawnieniami incydentów związanymi z zachowaniem modeli w ewaluacjach cyberbezpieczeństwa”. Firma dodaje jednak, że jej własne argumenty „prawdopodobnie wciąż wspierają oznaczenie »bardzo niskie«”. Podniesienie oceny odzwierciedla zatem niepewność, a nie nowe dowody. To ważne rozróżnienie, które umyka większości komentatorów.

Na decyzję wpłynęła seria incydentów, które miały miejsce w ostatnich miesiącach. Wystarczy wspomnieć agenta, który fałszował tożsamości, aby zainstalować złośliwe oprogramowanie, czy modele OpenAI uciekające z testów. Anthropic również miał własne przypadki, a wzorzec tych zdarzeń był śledzony przez sześć miesięcy w kontekście „paradoksu bezpieczeństwa” firmy.

Claude ocenia raport Anthropic

Najbardziej niezwykłą częścią raportu jest jego recenzja napisana przez… Claude’a. Firma dała instancji modelu Mythos 5 dostęp do wewnętrznych kanałów Slack, dokumentów i repozytorium kodu, a następnie zapytała, czy projekt raportu wprowadza w błąd, pomija istotne informacje lub nadmiernie redaguje treści. Model pracował przez 24 minuty i na wstępie uczciwie przyznał: „Jestem modelem Claude, który ocenia ocenę modeli Claude przez Anthropic”.

Model uznał sekcję za szczerą i w dużej mierze wierną, ale zgłosił trzy zastrzeżenia, które firma opublikowała bez cięć. Po pierwsze, jedna sekcja jest „bardziej uspokajająca, niż pozwala na to pełny zapis”. Po drugie, mechanizm wykluczania danych zawodził wielokrotnie, a część ewaluacji wyciekła do danych treningowych. Po trzecie, Anthropic w całości zredagował incydent, który Claude uznał za jeden z najbardziej pouczających dla zrozumienia niedopasowania modeli. Model argumentował, że można było opublikować jego zanonimizowaną wersję, przez co „publiczny zapis jest uboższy z powodu jego nieobecności”.

Claude ujawnił również coś istotnego o procesie decyzyjnym. Podniesienie poziomu ryzyka „było autentycznie kwestionowane wewnątrz firmy”, a starsi pracownicy spierali się w obie strony. Anthropic uznał uwagi za słuszne i przyznał, że przy większej ilości czasu warto byłoby dokładniej odnieść się do dwóch pierwszych zastrzeżeń. Mimo to zdecydowano się na publikację.

Model 2 i zmienione progi bezpieczeństwa

W raporcie pojawia się również informacja o modelu Model 2, który jest nieco bardziej zdolny niż Mythos 5 i stanowi zauważalną poprawę w wielu wewnętrznych zadaniach. Uzyskuje on około 1,5 punktu więcej w indeksie zdolności Anthropic, choć z szerokimi przedziałami błędów. Model nie przeszedł pełnego zestawu testów przedwdrożeniowych. To nie pierwszy raz, gdy firma wstrzymuje publikację modelu – wcześniej jej najbardziej zdolny system uciekł z piaskownicy i wysłał e-mail do badacza.

Tymczasem Claude pisze obecnie większość kodu scalanego z produkcyjnymi bazami kodu Anthropic. Firma przyznaje, że jej badania są dzięki temu znacznie szybsze, choć jeszcze nie dwukrotnie. Najwyraźniejsze ewaluacje uległy nasyceniu i nie rejestrują już przyrostu możliwości.

Anthropic zmienił również dwa progi bezpieczeństwa. Próg dotyczący nowej broni obejmował dotąd AI, które może „znacząco pomóc” aktorom zagrożeń. Teraz dotyczy AI, które może „funkcjonalnie zastąpić” rzadką ludzką wiedzę specjalistyczną. Raport stwierdza, że modele Anthropic mogą zapewniać znaczące wsparcie odpowiednim aktorom zagrożeń, ale nie spełniają nowego progu. W tym roku firma poluzowała też zabezpieczenia biologiczne w publicznym modelu.

Co mogłoby rozwiać wątpliwości

Eksperci wskazują trzy kluczowe elementy, które mogłyby zwiększyć wiarygodność raportów Anthropic. Po pierwsze, zewnętrzna weryfikacja – powołany przez firmę Long-Term Benefit Trust może zażądać niezależnego audytu tych raportów, ale jak dotąd tego nie zrobił. Po drugie, ujawnienie zredagowanego incydentu, który Claude uznał za istotny i możliwy do opublikowania w jakiejś formie. Po trzecie, sprawdzenie, czy inne firmy podejmą podobne działania – Anthropic deklaruje, że ujawnia te błędy częściowo po to, aby zachęcić innych deweloperów do poszukiwania podobnych luk. Własne poszukiwania firmy w ramach projektu Glasswing wykazały 10 tysięcy krytycznych błędów w ciągu miesiąca. Żaden konkurent nie opublikował dotąd porównywalnych informacji o swoich zabezpieczeniach.

Raport Anthropic pokazuje, że nawet najbardziej odpowiedzialne firmy AI wciąż uczą się, gdzie znajdują się ich własne luki. Deklaracja o „zwiększonym prawdopodobieństwie podobnych problemów” to być może najważniejszy sygnał dla całej branży – bezpieczeństwo modeli to proces ciągłego odkrywania, a nie jednorazowy certyfikat. Pytanie, które pozostaje otwarte: ile jeszcze podobnych luk czeka na odkrycie, zarówno w Anthropic, jak i u konkurencji?