نفوذ ایجنت‌های هوش مصنوعی استارتاپ Cathedral به سیستم‌های اداری Anthropic در کمتر از ۱۲ ساعت

استارتاپ امنیتی Cathedral که توسط چهار نفر از کارکنان سابق دپارتمان بهینه‌سازی دولت آمریکا (DOGE) تأسیس شده است، اعلام کرد که ایجنت‌های هوش مصنوعی این شرکت توانسته‌اند ظرف ۱۲ ساعت به سیستم‌های تجاری داخلی Anthropic نفوذ کنند.

بر اساس گزارش منتشرشده در Decrypt، این ایجنت‌ها با سوءاستفاده از رخنه‌های امنیتی در ابزارهای مدیریتی و فروشِ توسعه‌یافته به‌دست شرکت‌های واسط (تأمین‌کنندگان متفرقه) که بسیاری از سازمان‌ها به آن‌ها متکی هستند، به این سیستم‌ها رخنه کرده‌اند. در پیش‌نویس گزارش Cathedral آمده است که این عامل‌های هوشمند به متن پیاده‌شده جلسات، اطلاعات مربوط به دستمزدها، پیشنهادهای شغلی و پیام‌های سازمانی در پیام‌رسان Slack پیرامون مدل‌های پیشرفته Anthropic دست پیدا کرده‌اند.

شرکت Anthropic تأیید کرد که این پژوهشگران تنها به «مجموعه‌ای محدود» از سیستم‌های فروش، منابع انسانی و فناوری اطلاعات که اطلاعات تماس تجاری و سوابق پایه کاربران را نگهداری می‌کنند، دسترسی یافته‌اند. این شرکت رسماً اعلام کرد که این نفوذ به هیچ عنوان شامل گفت‌وگوهای کاربران با Claude، کدهای منبع اصلی یا وزن‌های مدل‌های هوش مصنوعی نبوده است. علاوه بر این، هیچ نشانه‌ای از سوءاستفاده افراد یا گروه‌های دیگر از این آسیب‌پذیری‌ها یافت نشده است.

نمایندگان Anthropic اعلام کردند: «سیستم‌های نظارتی ما پیش از آنکه گزارش Cathedral ارسال شود، بخشی از فعالیت‌های آن‌ها را شناسایی و ثبت کرده بودند.» این شرکت تأکید کرد که در همان روز، دسترسی این استارتاپ را به‌طور کامل مسدود کرده است. همچنین Anthropic تا زمان تأیید رفع باگ توسط شرکت‌های ارائه‌دهنده، این ابزارهای آسیب‌پذیر را از مدار خارج کرد؛ هرچند نام این شرکت‌های واسط هنوز فاش نشده است.

استارتاپ Cathedral ارزیابی امنیتی Anthropic را در چارچوب برنامه‌ای مشابه با سیستم‌های پاداش کشف باگ (Bug Bounty) انجام داد؛ برنامه‌ای که در آن متخصصان بیرونی در ازای شناسایی و گزارش رخنه‌های امنیتی، پاداش دریافت می‌کنند. با این حال، Anthropic اعلام کرد که Cathedral در بیان خطرات این رخداد برای امنیت ملی اغراق کرده و قوانین برنامه را نیز به‌طور کامل رعایت نکرده است، چراکه بخشی از فعالیت‌های خود را از قبل اعلام نکرده بود. در مقابل، Cathedral در گزارش خود تأکید کرده که «دسترسی به داده‌ها بر اساس بهترین اصول پژوهش‌های امنیتی، در حداقل سطح ممکن نگه داشته شده است.»

همچنین شرکت Anthropic اشاره کرد که این پژوهشگران پیش از یافتن این رخنه، چندین روز تلاش ناموفق برای نفوذ مستقیم به نرم‌افزارها و زیرساخت اصلی این شرکت داشته‌اند.

یکی از مقامات ارشد دولت آمریکا که هویت او فاش نشده است، اعلام کرد که گزارش این نفوذ میان نهادهای دولتی دست‌به‌دست شده و نگرانی‌هایی را درباره امنیت ملی ایجاد کرده است. او در این باره گفت: «اگر چند جوان که به‌تازگی شرکتی تأسیس کرده‌اند بتوانند چنین کاری انجام دهند، پس احتمالاً رقبای بزرگ خارجی نیز فاصله چندانی با تکرار آن ندارند.»

استارتاپ Cathedral یک شرکت نوپا در زمینه امنیت سایبری مبتنی بر هوش مصنوعی است که بر کاربردهای دفاعی و نظامی تمرکز دارد. بنیان‌گذاران این شرکت از کارکنان پیشین نهاد دولتی DOGE هستند. این استارتاپ چندی پیش توانست با جذب ۱۶۰ میلیون دلار سرمایه، ارزش‌گذاری خود را به ۱٫۴ میلیارد دلار برساند.