Сотрудник подрядчика Минобороны США подключил защищенную систему Пентагона к личному аккаунту Claude Code. По данным WIRED, агент мог отправить учетные данные на рискованный сторонний сайт и два месяца работал в сети.
Сотрудник консалтинговой компании Accenture, подрядчика Минобороны США, подключил защищенную систему Пентагона к личному аккаунту Claude Code — ИИ-агента Anthropic для написания кода. Как сообщает WIRED со ссылкой на осведомленные источники, инцидент произошел раньше в этом году: агент получил доступ к защищенной рабочей среде для написания и развертывания кода и два месяца работал в сети министерства, пока уязвимость не нашли и не закрыли.
Чтобы автоматизировать написание кода и запуск облачных серверов, сотрудник отдал агенту свои учетные данные, и тот получил права администратора, минуя защиты обычного входа. Для задач агенту был нужен интернет — и, судя по всему, он отправил логины, пароли и схему внутренней несекретной сети Минобороны на высокорисковый сторонний сайт.
Система обслуживает несколько разведывательных ведомств и хранит контролируемую несекретную информацию — чувствительные данные, которые нельзя публиковать без проверки. К этой категории могут относиться, в частности, сведения о критической инфраструктуре, силовых установках атомных подлодок и уязвимостях к химическому и биологическому терроризму. Источник WIRED назвал произошедшее «стопроцентной угрозой национальной безопасности»: если сторонний сервис был взломан, кто-то мог незаметно входить в защищенную среду.
Подрядчики Минобороны обязаны сообщать о киберинцидентах в течение 72 часов, но Accenture, по словам источников WIRED, изначально не уведомила власти, а ее сотрудники не сочли происшествие срочным. Сотрудникам Минобороны США сейчас запрещено пользоваться Claude.
Источник: hi-tech.mail.ru