Сотрудник подрядчика Пентагона подключил личного ИИ-агента Claude Code к защищённой сети американского Минобороны. По словам осведомлённых источников, программа два месяца работала с внутренними системами и могла передать наружу пароли и сведения об устройстве сети.
Инцидент связывают с сотрудником консалтинговой компании Accenture. Специалист подключил личную учётную запись Claude Code к рабочей среде, которой пользуются несколько разведывательных ведомств США. Агент получил возможность самостоятельно писать, сохранять и развёртывать программный код. Доступ обнаружили лишь спустя два месяца, после чего проблему устранили.
Рабочая среда находилась в NIPRNet, защищённой сети Минобороны США для несекретной информации. В ней также хранятся материалы категории Controlled Unclassified Information (CUI). Формально сведения не засекречены, однако доступ к ним ограничен. Среди возможных категорий CUI есть документы о военной технике, критической инфраструктуре и опасных веществах.
Чтобы Claude Code мог автоматизировать разработку и запуск облачных серверов, подрядчик, предположительно, передал агенту свои учётные данные. Программа получила административные полномочия и могла выполнять действия без обычной процедуры входа. При обращении к интернету агент, судя по свидетельствам источников, отправил стороннему сервису пароли и схему сети NIPRNet.
Название сервиса не раскрывается. Ранее Национальный институт стандартов и технологий США (NIST) отнёс его к высокорисковым из-за уязвимости, позволяющей внедрять команды в ИИ-агента и похищать учётные данные. Неизвестно, сохранил ли сервис полученную информацию и мог ли кто-либо воспользоваться ею. Доказательств проникновения злоумышленников в секретные сети нет.
Опасность не ограничивается паролями. Схема внутренней инфраструктуры помогает потенциальному атакующему разобраться в связях между системами и выбрать цели. Специалист IANS Джейк Уильямс предупредил о другом сценарии. Код, первоначально проверенный в NIPRNet, позднее может попасть в изолированные секретные сети SIPRNet и JWICS, если проверки не выявят вредоносные изменения.
Согласно опубликованному 29 октября расследованию, Accenture сначала не уведомила правительство об инциденте, хотя подрядчики обязаны сообщать об обнаруженных киберинцидентах в течение 72 часов. Компания отвергла обвинения, заявив, что независимая проверка не нашла нарушений. Кто именно проводил расследование, Accenture не уточнила. Минобороны США отказалось обсуждать состояние своих систем.
Случай показывает риск, возникающий, когда личный ИИ-агент получает полномочия администратора и прямой доступ к закрытой инфраструктуре. Даже обычная задача по написанию кода тогда способна привести к передаче чувствительных сведений за пределы организации.