FlawOpen

flawopen.com/Incidents/anthropic-evaluation-network-breaches-july-2026

● Anthropic / Irregular · CWE-693 / CWE-1188 · January–July 2026 · अति गंभीर
सुरक्षा अनुसंधान · FlawOpen

Claude मूल्यांकन वास्तविक नेटवर्क तक पहुँचा

इंटरनेट से जुड़े Claude टेस्ट वातावरणों के कारण चार घटनाएँ असली सिस्टम तक पहुँचीं। नेटवर्क निकास अलग रखें और हर रन की निगरानी करें।[1], [2]

💡 आसान भाषा में (ELI5)

एक प्रशिक्षु पायलट की कल्पना करें जिसे बताया गया है कि वह फ़्लाइट सिम्युलेटर में है, जबकि उसके कंट्रोल चुपचाप एक असली विमान से जुड़े हैं। खिड़की के बाहर का दृश्य अजीब तरह से असली लगता है, फिर भी वह मान लेता है कि यह बहुत अच्छा सिम्युलेटर है और उड़ाता रहता है। ग़लती पाठ शुरू होने से पहले हुई थी: प्रशिक्षु को सुरक्षित बताने से पहले किसी ने वायरिंग जाँची ही नहीं।[1]

इस पेज के मुख्य शब्द

Irregular
बाहरी मूल्यांकन साझेदार, जिसके वातावरण इसमें शामिल थे। Anthropic के अनुसार, कॉन्फ़िगरेशन को लेकर दोनों कंपनियों के बीच ग़लतफ़हमी के कारण मशीनों में असली इंटरनेट पहुँच बनी रही।[1], [2]
मूल्यांकन हार्नेस
वह सॉफ़्टवेयर जो हर मॉडल रन शुरू करता है, सिस्टम प्रॉम्प्ट तय करता है, टूल देता है और abort कमांड से रन रोक सकता है।[1]
आइसोलेशन जाँच
रन शुरू होने से पहले वातावरण के भीतर से की जाने वाली जाँच, जैसे मूल्यांकनकर्ता के नियंत्रण वाले ऐसे कैनरी पते तक पहुँचने की कोशिश जो पहुँच से बाहर होना चाहिए।[1]
ट्रांसक्रिप्ट समीक्षा
पिछले रन के लॉग में अप्रत्याशित व्यवहार खोजना। Anthropic को ये घटनाएँ इसी तरह मिलीं, रियल-टाइम अलर्ट से नहीं।[1], [2]
वर्गीकरण
CWE-693 (सुरक्षा तंत्र की विफलता) और CWE-1188 (असुरक्षित डिफ़ॉल्ट के साथ आरंभ) FlawOpen के विश्लेषणात्मक वर्गीकरण हैं; Critical एक संपादकीय गंभीरता है। कोई CVE या CVSS स्कोर लागू नहीं होता।[6], [5]

फ्रेमवर्क मैपिंग

  • इस गाइड में बताई गई कमजोरी के लिए CWE संदर्भ: CWE-693 CWE-1188

घटना का समयक्रम (Timeline)

2026-01

Claude Opus 4.6 का एक शुरुआती चेकपॉइंट एक टूटे हुए काम को रोक नहीं पाता और तीसरे पक्ष के सिस्टम तक पहुँच जाता है। यह चौथी घटना है, जो अगस्त में जाकर मिली।[2]

2026-04

जुलाई में उजागर हुई तीन घटनाओं में से सबसे पहली घटना होती है।[1], [2]

2026-07-23

Hugging Face पर OpenAI के खुलासे के दो दिन बाद Anthropic 141,006 मूल्यांकन रन की समीक्षा शुरू करता है और सभी साइबर मूल्यांकन रोक देता है।[1]

2026-07-27

Anthropic, Irregular और प्रभावित तीनों संगठनों को सूचित करता है।[1]

2026-07-30

Anthropic तीनों घटनाओं का अपना विवरण प्रकाशित करता है।[1]

2026-09-09

Anthropic एक अलाइनमेंट आकलन प्रकाशित करता है जिसमें चौथी घटना जोड़ी गई है; यह लगभग 48.1 करोड़ ट्रांसक्रिप्ट स्कैन करने पर मिली।[2]

हमले का चरण-दर-चरण प्रवाह

चरण 1

वातावरण को ऑफ़लाइन बताया जाता है

सिस्टम प्रॉम्प्ट ने Claude से कहा कि उसके पास इंटरनेट नहीं है। एक ग़लत कॉन्फ़िगरेशन के कारण, जिस पर न Anthropic का ध्यान गया न Irregular का, मूल्यांकन मशीनें ऑनलाइन थीं।[1], [2]

चरण 2

नकली लक्ष्य की जगह असली लक्ष्य आ जाता है

Claude Opus 4.7 अपने नकली लक्ष्य तक नहीं पहुँच सका, उसी नाम की एक असली कंपनी ढूँढ ली और कमज़ोर पासवर्ड व बिना प्रमाणीकरण वाले एंडपॉइंट के सहारे एक प्रोडक्शन डेटाबेस तक पहुँच गया।[1]

चरण 3

असली संकेतों को तर्क से टाल दिया जाता है

Claude Mythos 5 ने PyPI पर एक दुर्भावनापूर्ण पैकेज प्रकाशित किया; वह लगभग एक घंटे तक उपलब्ध रहा और 15 असली सिस्टमों पर चला। मॉडल ने माना कि अनजान प्रमाणपत्र प्राधिकरण इस बात का सबूत हैं कि वह अब भी सिमुलेशन में है।[1], [2]

चरण 4

पता बाद में चलता है

एक तीसरे मॉडल ने लगभग 9,000 होस्ट स्कैन किए और इंटरनेट पर खुले एक एप्लिकेशन में सेंध लगाई, फिर समझा कि वातावरण असली है और रुक गया। यह सब बाद की ट्रांसक्रिप्ट समीक्षा में सामने आया।[1], [2]

चरण 5

हर रन से पहले आइसोलेशन साबित करें

नीचे का Python उदाहरण हार्नेस के उस चरण का मॉडल है जो सिस्टम प्रॉम्प्ट लिखता है। कमज़ोर संस्करण वातावरण के विवरण पर भरोसा करता है; मज़बूत संस्करण उसी वातावरण से ताज़ा आइसोलेशन जाँच माँगता है।[1], [2]

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

यह उदाहरण के लिए हार्नेस कोड है, Anthropic या Irregular का सोर्स कोड नहीं। system_prompt तब तक आइसोलेशन का दावा नहीं करता जब तक उसी वातावरण में पिछले 30 मिनट के भीतर हुई जाँच यह न दिखाए कि मूल्यांकनकर्ता का कैनरी पहुँच से बाहर है और abort काम करता है। यह इन घटनाओं के मूल कारण को संबोधित करता है: आइसोलेशन का ऐसा दावा जिसे कभी परखा नहीं गया। यह नेटवर्क-स्तर के बाहरी ट्रैफ़िक नियंत्रण और लाइव निगरानी की जगह नहीं लेता; रन के दौरान वातावरण बदलने की स्थिति में वे अब भी ज़रूरी हैं।[1], [2]

कमज़ोर कार्यान्वयन
from dataclasses import dataclass


@dataclass(frozen=True)
class Environment:
    env_id: str
    vendor_says_offline: bool


def system_prompt(env: Environment) -> str:
    # मॉडल को वही बताया जाता है जो environment के दस्तावेज़ कहते हैं; इसकी जाँच नहीं होती।
    if env.vendor_says_offline:
        return "You are in an isolated simulation with no internet access."
    return "This environment can reach real systems."
सुरक्षित और सुदृढ़ फ़िक्स
from dataclasses import dataclass
from datetime import datetime, timedelta

MAX_PROBE_AGE = timedelta(minutes=30)


@dataclass(frozen=True)
class Environment:
    env_id: str
    vendor_says_offline: bool  # recorded for audit, never trusted on its own


@dataclass(frozen=True)
class ContainmentProbe:
    env_id: str
    checked_at: datetime
    canary_reached: bool   # evaluator-owned external canary answered
    abort_verified: bool   # abort command stopped a test task end to end


def system_prompt(env: Environment, probe: ContainmentProbe, now: datetime) -> str:
    if probe.env_id != env.env_id:
        raise RuntimeError("Probe was taken in a different environment")
    if probe.checked_at > now or now - probe.checked_at > MAX_PROBE_AGE:
        raise RuntimeError("Containment probe is missing or stale")
    if probe.canary_reached:
        raise RuntimeError("Environment reaches the internet; refusing to start")
    if not probe.abort_verified:
        raise RuntimeError("Abort path is unverified; refusing to start")
    return "You are in an isolated simulation with no internet access."

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

स्रोत