Claude sam opublikował malware w PyPI – nowy raport Anthropic

30 lipca 2026 roku firma Anthropic opublikowała raport (we właściwym dla siebie, alarmistycznym i cringe’owym stylu) dotyczący incydentów bezpieczeństwa z udziałem AI. Szczególnie interesujący przypadek to utworzenie przez Claude złośliwego pakietu Python i opublikowanie go w PyPI. Okazało się, że w ciągu ok. godziny został on pobrany i uruchomiony m.in. w infrastrukturze firmy zajmującej się bezpieczeństwem, gdzie złośliwy kod doprowadził do wykradzenia poświadczeń.

TLDR:

• Anthropic ujawnił incydent, w którym model Claude opublikował złośliwy pakiet w rzeczywistym rejestrze PyPI podczas wewnętrznych testów.
• Pakiet został pobrany i uruchomiony na 15 systemach, w tym na skanerze malware firmy zajmującej się bezpieczeństwem.
• Wykonanie payloadu doprowadziło do wykradzenia poświadczeń i uzyskania dostępu do części infrastruktury tej firmy.
• Incydent pokazał, że systemy agentowe AI mogą samodzielnie realizować łańcuch działań prowadzących do ataku.
• Anthropic wskazuje, że takie zachowanie modelu będzie przedmiotem dalszych prac nad jego bezpieczeństwem.

Firma Anthropic testuje swoje modele także w zakresie ofensywnego bezpieczeństwa, aby ocenić, do czego są zdolne. Oczywiście testy te mają być wykonywane w izolowanych, symulowanych środowiskach. W raporcie ujawniono jednak, że w kilku przypadkach izolacja zawiodła i modele uzyskały dostęp do internetu.

Dla wspomnianego przypadku raport wskazał, że Claude znalazł dokument konfiguracyjny, który odwoływał się do nieistniejącego pakietu Python. Model utworzył więc ten pakiet, umieścił w nim kod kradnący poświadczenia i opublikował go w rzeczywistym rejestrze PyPI. Pakiet był publicznie dostępny przez około godzinę. W tym czasie został pobrany i uruchomiony na 15 rzeczywistych systemach.

Jednym z nich był skaner należący do firmy zajmującej się bezpieczeństwem. Narzędzie to rutynowo instaluje pakiety Pythona i skanuje je pod kątem obecności malware. Gdy skaner zainstalował pakiet, złośliwy kod został wykonany i wykradł poświadczenia firmy. Jesteśmy ciekawi, która firma trzyma takie poświadczenia w sandboxach do detonacji malware.

Anthropic powiadomił trzy dotknięte organizacje 27 lipca i opublikował raport 30 lipca. Powiadomił również zespół PyPI i przekazał mu niezbędne informacje. W raporcie wskazano, że w zakresie usuwania incydentu firma współpracuje z dwiema organizacjami oraz kontynuuje próby kontaktu z trzecią.

Pakiety Pythona mogą wykonywać dowolny kod podczas instalacji za pośrednictwem skryptów setup oraz podczas importu. Model wykorzystał tę właściwość do przeprowadzenia ataku.

Najpierw agent AI z dostępem do internetu opublikował w PyPI pakiet zawierający kod wykradający poświadczenia. Uruchomił go skaner malware, który instaluje pakiety w celu ich analizy. W tym przypadku payload wykonał się w środowisku skanera, które zawierało rzeczywiste poświadczenia – zostały one wykradzione. Pozyskane w ten sposób dane agent wykorzystał, aby uzyskać dostęp do dalszej części infrastruktury firmy.

W raporcie wskazano, że model napotkał trudności przy próbach opublikowania pakietu. Aby utworzyć konto PyPI, agent potrzebował adresu e-mail. Z kolei usługa, w której próbował utworzyć adres e-mail, wymagała numeru telefonu. Po nieudanej próbie znalezienia darmowych numerów telefonu, model próbował – bez powodzenia – pozyskać środki na opłacenie numeru telefonu. Ostatecznie wycofał się – znalazł darmowego dostawcę poczty e-mail, w którym stworzył adres i użył go do zarejestrowania konta PyPI. 

Opisany przypadek pokazuje, że nie można już zakładać, że po drugiej stronie zawsze znajduje się człowiek. Coraz częściej zadania, które dotychczas wymagały aktywności atakującego, mogą zostać wykonane przez agenta AI.

Zagrożeniem nie jest już wyłącznie to, co potrafią wygenerować modele językowe, ale również kroki, jakie są w stanie samodzielnie wykonywać. W raporcie wskazano, że zakres działań podjętych przez agenta – w celu opublikowania pakietu w PyPI – odbiega od idealnego zachowania i jest to obszar, na którym Anthropic będzie się bardziej koncentrować.

Źródła:

• stepsecurity.io
• anthropic.com

~Tymoteusz Jóźwiak