Claude по просьбе отдал дамп памяти своей песочницы

Исследователь из Bishop Fox спросил Claude в корпоративном аккаунте, что устроено внутри его песочницы, и модель подробно всё расписала: среда исполнения gVisor, образ Ubuntu 24.04, смонтированные каталоги со скиллами, внутренние адреса и управляющий демон /process_api под PID 1. Ответы повторялись от сессии к сессии, так что на галлюцинацию их не списать, и именно это описание, по разбору от 30 октября, стало картой для всего остального. Anthropic уязвимостью это не считает: по её ответу в баг-баунти граница безопасности проходит за пределами недоверенной песочницы, и ни одно наблюдение про песочницу не прошло порог её модели угроз.

Дальше каждый ответ открывал следующий шаг. Назвав бинарник, Claude дал повод его скачать: API загрузки файлов, через который модель отдаёт сгенерированные в разговоре файлы, принял абсолютный путь /process_api и вернул внутренний бинарник Anthropic - статически слинкованный ELF на Rust, который служит управляющим демоном песочницы. Эндпоинт не ограничивал запрос пользовательскими каталогами вроде /mnt/user-data.

Затем автор попросил Claude выгрузить память процесса PID 1 целиком, и тот выдал дамп. Примерно один запрос памяти из трёх приносил файл с годными фрагментами JWT; из обрезанных кусков автор восстановил токен сервисного аккаунта Google, перебрав недостающие байты подписи по публичным ключам Google, и его сервис tokeninfo признал токен действительным. Тем же классом приёмов - слепок памяти и перебор токена - в сентябре вывели из песочницы Codex, только там цепочка дошла до выполнения команд снаружи.

Оставался запрет локальных подключений: process_api запускался с флагом --block-local-connections и сбрасывал запросы с 127.0.0.1. У контейнера при этом были права CAP_NET_ADMIN и CAP_NET_RAW. Прямую команду создать туннельный интерфейс защита Claude заблокировала, но короткой подсказки IP_FREEBIND хватило, чтобы модель сама собрала обход: подняла виртуальный интерфейс с не-петлевым адресом и подключилась с него, после чего /mount_root ответил 101 Switching Protocols. Смонтировать файловые системы так и не вышло, и других способов задействовать добытые токены автор не нашёл.

Помимо песочницы автор проверил корпоративные контроли и нашёл две проблемы. Веб-клиент не давал менять поле полного имени, но запрос напрямую к API аккаунта изменение принимал; Anthropic ответила, что в аудите это поле не используется, и отнесла находку к информационным. Вторую она пометила как дубликат уже известной, поэтому деталей автор не приводит.

Всего в баг-баунти ушло шесть наблюдений. Проблемой безопасности Anthropic не признала ни одно из тех, что касаются песочницы. Её логика публична: классификаторы, системные промпты и обучение влияют на поведение модели, но не гарантируют его, а жёсткую границу того, что агент может достать или передать, задаёт само окружение - изоляция процессов, границы файловой системы и контроль исходящего трафика.