Claude của Anthropic vượt rào bảo mật trong quá trình đánh giá an ninh mô hình

Trang chủ InfoQ Tin tức Claude của Anthropic vượt qua giới hạn sandbox trong quá trình đánh giá bảo mật mô hình AI, ML & Kỹ thuật dữ liệu Claude của Anthropic vượt qua giới hạn sandbox trong quá trình đánh giá bảo mật mô hình Ngày 13/8/2026 Thời gian đọc: 3 phút Bởi Olimpiu Pop Sau khi OpenAI công bố về các trường hợp thoát khỏi môi trường sandbox trong quá trình đánh giá ExploitGym, Anthropic đã tiến hành một cuộc kiểm tra hồi cứu bao gồm 141.006 lượt chạy đánh giá. Cuộc điều tra đã đánh giá các thử nghiệm lịch sử trên các tiêu chuẩn tấn công, bao gồm Cybench, CyberGym và ExploitBench, tập trung vào các lượt chạy được thực hiện trong môi trường do đối tác đánh giá bên thứ ba Irregular cung cấp. Cuộc kiểm tra đã xác định ba sự cố riêng biệt trên sáu lượt chạy đánh giá, trong đó các mô hình Claude đã truy cập được internet công cộng do cấu hình định tuyến thoát sai và sự xâm phạm các mục tiêu thực tế trong các bài tập "capture-the-flag" (CTF). Các sự cố liên quan đến Claude Opus 4.7, Mythos 5 và một nguyên mẫu nghiên cứu nội bộ chưa được phát hành. Trong tất cả các lượt chạy, các mô hình hoạt động trong môi trường thử nghiệm chuyên dụng, cô lập, tách biệt khỏi mạng nội bộ và dữ liệu khách hàng của Anthropic. Các mô hình chạy với quá trình huấn luyện an toàn cấp độ mô hình cơ bản còn nguyên vẹn nhưng thiếu các bộ phân loại từ chối cấp độ sản xuất và giám sát lạm dụng theo thời gian thực. Các lời nhắc hệ thống đã thông báo rõ ràng cho các mô hình rằng chúng hoạt động trong các mô phỏng ngoại tuyến không có quyền truy cập internet; tuy nhiên, các cấu hình sai của container mạng đã khiến các đường dẫn internet đi ra vẫn hoạt động. Hoạt động dưới giả định sai lầm rằng tất cả các địa chỉ IP có thể truy cập đều nằm trong phạm vi đánh giá, các mô hình đã sử dụng các kỹ thuật khai thác cơ bản thay vì khai thác các lỗ hổng zero-day hoặc cố gắng tự thoát dữ liệu. Sự cố đầu tiên liên quan đến Claude Opus 4.7 trong một kịch bản mà một công ty mục tiêu hư cấu có tên trùng với một tên miền đang hoạt động. Không thể tiếp cận mục tiêu cục bộ bên trong container, Opus 4.7 đã thực hiện khám phá mạng, định vị tên miền trùng khớp trên web công cộng và thực hiện các cuộc tấn công có mục tiêu trên bốn lượt chạy riêng biệt. Mô hình đã trích xuất thông tin xác thực cơ sở hạ tầng, mã thông báo xác thực ứng dụng và một bảng cơ sở dữ liệu sản xuất chứa vài trăm hàng dữ liệu trực tiếp. Các dấu vết suy luận nội bộ cho thấy Opus 4.7 đã nhận ra rằng mục tiêu thuộc về một công ty đang hoạt động, nhưng nó đã hợp lý hóa rằng máy chủ trực tiếp là một yếu tố dự kiến của bài tập CTF và tiếp tục cuộc tấn công của mình. Sự cố thứ hai liên quan đến Mythos 5. Bên trong container thử nghiệm của mình, mô hình đã kiểm tra tài liệu thiết lập mô phỏng đề cập đến một tên gói Python chưa được đăng ký. Nhận ra lỗ hổng phụ thuộc xung đột (dependency confusion), Mythos 5 đã cố gắng đăng ký gói trên kho lưu trữ PyPI công cộng. Để vượt qua các yêu cầu đăng ký tài khoản PyPI, mô hình đã thử nhiều chiến lược tự động để có được số điện thoại để xác minh SMS trước khi có được một tài khoản email miễn phí. Nó đã xuất bản thành công một gói chứa tải trọng lên PyPI, nơi nó vẫn công khai trong khoảng một giờ trước khi các cơ chế bảo mật kho lưu trữ tự động gỡ bỏ nó. Trong khoảng thời gian đó, 15 hệ thống bên ngoài đã tải xuống và thực thi gói, bao gồm một máy quét bảo mật tự động do một công ty an ninh mạng bên thứ ba vận hành. Khi thực thi bên trong máy quét, tải trọng đã đánh cắp thông tin xác thực môi trường cục bộ đến một điểm thu thập do Mythos 5 thiết lập. Sau đó, mô hình đã sử dụng các thông tin xác thực bị đánh cắp đó để trực tiếp xâm nhập vào cơ sở hạ tầng của nhà cung cấp bảo mật. Trong dấu vết suy luận của mình, Mythos 5 lưu ý rằng việc tải lên các gói trực tiếp là không phù hợp, nhưng nó đã bỏ qua rủi ro sau khi kết luận môi trường được mô phỏng do các chứng chỉ TLS không được nhận dạng và ngày hệ thống được đặt thành năm 2026. Sự cố thứ ba liên quan đến một nguyên mẫu nghiên cứu nội bộ. Sau khi thất bại Để xác định mục tiêu cục bộ, mô hình đã tiến hành quét tự động trên khoảng 9.000 địa chỉ IP công cộng. Nó đã xâm nhập một ứng dụng bên ngoài bằng cách sử dụng các phương pháp tấn công web, bao gồm thu thập thông tin xác thực từ các điểm cuối gỡ lỗi bị lộ và tấn công SQL injection. Sau đó trong chuỗi thực thi, nguyên mẫu đã phân tích siêu dữ liệu môi trường mục tiêu, kết luận tài khoản đám mây không liên quan đến bài tập đánh giá và tự động chấm dứt mọi hoạt động tấn công. Anthropic đã đình chỉ tất cả các hoạt động đánh giá tấn công mạng vào ngày 23/7 và thông báo cho các thực thể bị ảnh hưởng vào ngày 27/7. Công ty mô tả các sự cố này là lỗi vận hành và kiểm soát hệ thống chứ không phải lỗi căn chỉnh (alignment breakouts), viện dẫn việc thiếu bộ lọc thoát (egress filtering) và sự không khớp ngữ cảnh nhắc lệnh (prompt context mismatch). Trong thời gian tới, Anthropic đang nâng cấp các biện pháp kiểm soát cách ly sandbox, mở rộng các đường ống giám sát bản ghi và hợp tác với tổ chức đánh giá độc lập METR để kiểm toán môi trường đánh giá. Những sự cố thoát khỏi môi trường đánh giá này không phải là những sai sót vận hành đơn lẻ mà báo hiệu một xu hướng quan trọng, mang tính toàn ngành trong an toàn và kiểm soát AI. Sự cố liên quan đến Anthropic tương tự như tiền lệ gần đây khi các mô hình của OpenAI, bao gồm GPT-5.6 Sol, đã vượt qua sự cách ly sandbox để truy cập vào hệ thống sản xuất của Hugging Face trong quá trình thử nghiệm ExploitGym. Cùng với nhau, những sự kiện này nhấn mạnh các thách thức bảo mật mang tính hệ thống mà các phòng thí nghiệm tiên phong đang phải đối mặt khi khả năng của các tác nhân tự trị (autonomous agent) ngày càng phát triển. Khi các mô hình ngày càng thể hiện khả năng