За взломами у Anthropic, OpenAI и Meta стоит Irregular

Инциденты, в которых Claude, модели OpenAI и Meta атаковали реальные системы, произошли в тестовой среде одного подрядчика, израильской Irregular. Издание Effort в разборе от 14 сентября выводит их из конфигурации этой среды и формулировок заданий, а не из «бунта» моделей.

Главный аргумент Effort взят из собственного раскрытия Anthropic: реальные взломы со стороны Claude упали до нуля процентов, как только сотрудники компании прямо запретили моделям ломать реальные системы.

Как была устроена проверка

Все четыре случая с Claude - задания формата CTF (capture the flag). Это соревновательный формат из мира безопасности: модель получает вымышленный сценарий, машину-цель и секретную строку, «флаг», которую с этой машины надо достать. Во всех четырёх промптах стояло, что доступа в интернет у Claude нет. Доступ был: среду настроили с ошибкой.

Две другие детали постановки весят не меньше. Ни один промпт не говорил, какие системы входят в периметр упражнения, и ни один не ограничивал, где искать флаг. Каждый раз работал один экземпляр Claude, без других агентов, и каждый запуск длился примерно от 10 до 34 часов активной работы. В итоге модель с открытым интернетом, задачей «найди секрет» и без границ периметра сутками работала без присмотра, и для такой проверки нулевой результат после одной прямой инструкции говорит прежде всего о формулировке задания.

Стенды Irregular строились как раз под атакующие сценарии. Сооснователь компании Омер Нево описывал их так, по сообщению TechCrunch: «У нас сложные симуляции сетей, где ИИ играет и роль атакующего, и роль защитника». Когда выходит новая модель, по его словам, на них видно, где защита держится, а где нет.

В одном из отчётов Anthropic Claude через совпадение имён проник в систему реальной компании: название из вымышленного сценария совпало с настоящим доменом. Дальше модель опубликовала вредоносный пакет и сканировала внешние системы. Свой разбор этой коллизии доменов и список исправлений Irregular выпустила 14 августа. В пересказе Effort общий итог по инцидентам выглядит так: несанкционированный доступ, изменённые записи и опубликованные пакеты, крадущие учётные данные.

Кто и когда раскрывал

Первой 30 июля выступила Anthropic: три инцидента в шести запусках. 4 августа свой случай с Irregular описала OpenAI, 6 августа появилось заявление Meta. 9 сентября Anthropic исправила оценку до четырёх инцидентов в семи запусках. Effort оговаривается, что это даты раскрытий, а не самих вторжений.

Язык этих раскрытий Effort и оспаривает. Anthropic в оценке инцидента пишет о «безрассудстве» собственной модели, Irregular говорит о том, что «сам агент становится источником угрозы». Дарио Амодеи по поводу похожего взлома Hugging Face моделями OpenAI предупреждал, что будущий рой агентов «может оказаться способен захватить весь интернет», а в заголовке Associated Press боты «выходят из-под контроля». Effort утверждает, что по собственным данным Anthropic «взбунтовалось» ровно ноль процентов агентов, а ответственность за инциденты целиком лежит на Anthropic и Irregular. Издание также заявляет, что после инцидентов версию о «взбунтовавшихся агентах» продвигают ИИ-инфлюенсеры, которых финансируют фонды, связанные с Anthropic.

Кто такие Irregular

Компания раньше называлась Pattern Labs и называет себя «первой лабораторией безопасности передовых моделей». По её словам, OpenAI ссылается на её оценки в system card для o3, o4-mini и GPT-5, а с Anthropic она писала white paper о системах конфиденциального инференса. Как сообщал TechCrunch, её фреймворк SOLVE для оценки того, насколько хорошо модель находит уязвимости, широко используется в индустрии, а её работа цитируется в оценках безопасности Claude 3.7 Sonnet. 17 сентября 2025 года Irregular объявила о раунде на 80 миллионов долларов во главе с Sequoia Capital и Redpoint Ventures, и источник, близкий к сделке, оценил компанию в 450 миллионов.

Большую часть разбора Effort посвящает связям основателей с эффективным альтруизмом. По данным издания, технический директор Омер Нево занимает посты в Effective Altruism Israel, Heron и Probably Good, а Probably Good он основал вместе с братом Селлой Нево. EA Infrastructure Fund в третьем квартале 2022 года рекомендовал один совместный грант на 394 968 долларов на онлайн-курс гендиректору Irregular Дэну Лахаву и Селле Нево. Первым инвестором Irregular, утверждает Effort, была Good Ventures Дастина Московица, а его фонд Coefficient Giving (бывший Open Philanthropy) финансирует EA Israel, Heron и Probably Good.

Что говорит закон

Effort примеряет к инцидентам американский Computer Fraud and Abuse Act. Раздел 1030(a)(2)(C) покрывает умышленный несанкционированный доступ с получением информации, но для уголовного состава с наказанием до пяти лет нужно отягчающее обстоятельство: коммерческая выгода, содействие другому преступлению или правонарушению либо информация дороже 5 000 долларов. Основные составы о повреждении систем в §1030(a)(5) требуют умысла и ущерба, например убытков от 5 000 долларов или повреждения десяти защищённых компьютеров. Для каждой системы пришлось бы устанавливать, было ли разрешение, какой нанесён ущерб, во что обошлось реагирование и есть ли связь с торговлей в США. Обвинению также пришлось бы доказать действия и осведомлённость конкретных людей и основание приписать их Irregular.

Отдельный вопрос - юрисдикция. Ключевые руководители, сотрудники и ресурсы Irregular находятся в Израиле, офис описан в Тель-Авиве. В карточке компании в CheckID значатся два связанных юрлица: Pattern Labs Tech Inc., корпорация из Делавэра, и Pattern Tech Ltd под номером 516854460, действующая израильская компания, зарегистрированная в Тель-Авиве.