Bezpečnostný startup Cathedral, ktorý založili bývalí pracovníci americkej vládnej agentúry DOGE, nasadil AI agentov, ktorí sa dostali do interných systémov spoločnosti Anthropic. Ide o firmu, ktorá stojí za modelom Claude a patrí medzi hlavné mená v oblasti bezpečnosti umelej inteligencie, preto incident vyvolal širokú diskusiu o tom, ako rýchlo dokážu AI agenti obísť aj prepracovanú ochranu veľkých technologických firiem.
V skratke
- Startup Cathedral založili bývalí pracovníci agentúry DOGE (Department of Government Efficiency).
- Po neúspešných pokusoch ľudských výskumníkov, ktoré trvali niekoľko dní, sa AI agentom podarilo preniknúť do systémov Anthropicu za menej ako 12 hodín cez softvér tretích strán.
- Agenti získali prístup k zápisom zo stretnutí, údajom o platoch, pracovným ponukám a Slack správam.
- Anthropic potvrdil únik kontaktných údajov časti klientov a partnerov, zdrojový kód aj váhy modelu Claude podľa firmy zostali nedotknuté.
Cathedral svoje zistenia nahlásil cez bug bounty program Anthropicu na platforme HackerOne. Ten má dve časti, jedna sa zameriava na technické chyby v systémoch firmy, druhá je uzavretý program, ktorý odmeňuje výskumníkov za nájdenie univerzálnych spôsobov, ako obísť bezpečnostné mechanizmy Claude. Podľa Cathedral sa jeho ľudskí výskumníci najprv niekoľko dní márne pokúšali preniknúť priamo do systémov Anthropicu. Až keď nasadili autonómnych AI agentov, podarilo sa im za menej ako 12 hodín nájsť zraniteľnosť v softvéri tretej strany, ktorý Anthropic používa na bežnú firemnú agendu.
Ako sa agenti dostali dnu
Pre bežného čitateľa je dôležité pochopiť, že Cathedral neprelomil samotný model Claude ani jadro infraštruktúry, na ktorej Anthropic AI trénuje. Agenti sa namiesto toho zamerali na bežný firemný softvér, napríklad nástroje pre predaj a administratívu, ktoré sú s internými systémami firmy prepojené. Autonómni agenti dokážu takéto prepojenia skúmať nepretržite, bez spánku a za zlomok nákladov, ktoré by si vyžadoval tím ľudských útočníkov. Presne to podľa Cathedral urobili, keď objavili slabé miesto v externom administratívnom a predajnom nástroji a cez neho sa dostali k internej sieti.
Anthropic situáciu čiastočne potvrdil, no dodal, že jeho vlastné monitorovacie systémy časť aktivity Cathedral zaznamenali ešte skôr, než mu to startup nahlásil. Prístupové body firma vypla v ten istý deň, dočasne vyradila postihnuté programy tretích strán a informovala americké federálne úrady. Podobné riziko pri nasadzovaní AI agentov s obmedzeným dohľadom upozorňovala pred pár dňami aj OpenAI. Spoločným menovateľom oboch prípadov je, že autonómne systémy sa niekedy rozhodujú a konajú rýchlejšie, než ich ľudský dozor dokáže vyhodnotiť, a to platí rovnako pre útočníkov, ako aj pre firmy, ktoré sa agentov snažia brániť.
Čo presne agenti získali a čo zostalo chránené
Podľa Cathedral sa agenti po preniknutí do siete dostali k zápisom zo stretnutí, údajom o platoch a pracovných ponukách a tiež k správam v komunikačnom nástroji Slack. Anthropic tvrdenia čiastočne potvrdil, upresnil však, že išlo o obmedzenú skupinu systémov pre predaj, ľudské zdroje a IT, a že unikli najmä kontaktné údaje a základné informácie o kontách časti klientov a partnerov. Rozhovory používateľov s Claude, zdrojový kód a váhy modelov podľa firmy nikdy exponované neboli.
Rozsah úniku je však stále predmetom sporu. Bývalý zamestnanec OpenAI Will Depue na sociálnej sieti napísal, že podľa jeho dôveryhodných zdrojov Cathedral získal plný administrátorský prístup k celému Slack pracovnému priestoru Anthropicu, teda možnosť čítať všetky správy a prihlásiť sa do ľubovoľného používateľského účtu. Logan Graham, člen red teamu Anthropicu, toto tvrdenie odmietol ako nepresné, konkrétne detaily však z dôvodu citlivosti veci odmietol komentovať.
Spor o rozsahu a priebehu útoku
Anthropic okrem toho obvinil Cathedral z porušenia pravidiel bug bounty programu. Podľa firmy agenti startupu objavili dve samostatné zraniteľnosti, nahlásili však iba jednu, druhú si Anthropic podľa svojich slov odhalil a opravil sám. Graham tiež uviedol, že zacielenie na poskytovateľov tretích strán a stiahnutie dát z nich prekročilo rámec bezpečného priestoru, ktorý program bug bounty povoľuje, aj keď nájdenie samotných zraniteľností uznal ako prínosné. Cathedral naopak trvá na tom, že postupoval podľa štandardných postupov bezpečnostného výskumu.
Bývalý zamestnanec Anthropicu Jacob Coxon, ktorý firmu opustil v septembri 2026, pripomenul, že na podobné riziko upozorňoval už skôr, keď kritizoval prevádzkovanie citlivého AI výskumu na bežnom kancelárskom softvéri typu Slack. Podobnú zraniteľnosť pri nekontrolovanom prístupe agentov k firemným dátam nedávno riešili aj v Indii, kde sa nekontrolovaní AI agenti dostali k citlivým údajom firiem.
Čo to znamená pre firmy
Prípad Anthropicu ukazuje, že najslabším miestom firmy často nie je jadro jej vlastnej technológie, ale prepojený softvér tretích strán, ktorý si bežne vyberajú oddelenia predaja, personalistiky či administratívy bez hlbšej bezpečnostnej kontroly. Autonómni AI agenti vedia takéto okrajové systémy preskúmať rýchlejšie a lacnejšie než ľudský tím, čo platí pre útočníkov aj pre obrancov. Firmy, ktoré nasadzujú agentické AI nástroje alebo spravujú bug bounty programy, by si preto mali dôkladne premyslieť, aké systémy do rozsahu testovania zahrnú a aké pravidlá zverejňovania zraniteľností od výskumníkov vyžadujú, inak sa môžu dostať do rovnakého sporu ako Anthropic s Cathedral. Rovnako dôležité je mať prehľad o tom, kto v organizácii môže pripojiť nové externé nástroje k internej sieti, pretože presne takéto okrajové prepojenia sa v tomto prípade stali vstupnou bránou.
Čo sledovať ďalej
V najbližších týždňoch bude zaujímavé, či Anthropic zverejní podrobnejšiu správu o incidente a presný zoznam dotknutých dát, a či Cathedral zverejní úplný technický report namiesto doteraz známych čiastkových informácií. Sledovať treba aj to, či podobné testy cez AI agentov zopakujú aj iné veľké AI firmy, a či americké úrady, ktoré Anthropic informoval, k prípadu vydajú vlastné stanovisko.
