Cathedral AI startup breaches Anthropic systems in under 12 hours

AI xavfsizlik startapi Cathedral Anthropic kompaniyasining ichki tizimlariga 12 soatdan kam vaqt ichida kirish imkoniyatini topdi. Bu hodisa kompaniyaning tashqi tadqiqotchilar uchun tashkil etgan zaifliklarni aniqlash dasturi doirasida amalga oshirildi, ammo natijalar milliy xavfsizlik bo'yicha keng muhokamalarga sabab bo'ldi.

Fon va kontekst: AI xavfsizlik bozorining o'sishi

So'nggi yillarda AI asosidagi kiberxavfsizlik xizmatlari tez sur'atlar bilan rivojlanmoqda. Original manbaga ko'ra, Cathedral sobiq US Department of Government Efficiency (DOGE) a'zolari tomonidan tashkil etilgan bo'lib, hukumat va korporativ mijozlarga AI agentlari orqali tahdidlarni aniqlash yechimlarini taklif etadi. Ushbu startapning maqsadi – murakkab biznes dasturlaridagi zaifliklarni avtomatlashtirilgan usulda topish.

Texnik tafsilotlar: AI agentlari qanday ishladi?

Cathedral o'zining AI agentlarini Anthropicning ma'muriy va savdo jarayonlari uchun ishlatiladigan biznes dasturlariga yo'naltirdi. Agentlar quyidagi bosqichlarni amalga oshirdi:

• Avtomatik tarmoqli skanerlash – tizimda ochiq portlar va eski versiyalarni aniqlash.
• Zaifliklarni ekspluatatsiya qilish – ma'lum bir dasturiy ta'minotdagi xatoliklardan foydalangan holda kirish tokenlarini olish.
• Ma'lumotlarni ekstraksiya qilish – xodimlar profillari, maosh ma'lumotlari, ish takliflari va Slack xabarlari kabi ichki hujjatlarni yuklab olish.

Jarayon 12 soat ichida yakunlandi, bu esa AI agentlarining tezkor o'rganish va moslashish qobiliyatini ko'rsatadi. Anthropicning monitoring tizimi bir necha harakatni aniqladi, lekin ularni to'liq blokirovka qilish uchun bir kun ichida vaqt yetmadi.

Taqqoslash: An'anaviy pentest vs. AI asosidagi test

Odatiy penetratsion testlar odatda bir necha kun yoki haftalar davom etadi, chunki mutaxassislar qo'lda kodni tahlil qiladi va har bir zaiflikni alohida sinovdan o'tkazadi. AI agentlari esa bir necha soat ichida bir nechta platformalarda bir vaqtning o'zida zaifliklarni aniqlashga qodir. Bu usulning afzalliklari:

• Tezlik – 12 soat ichida keng ko'lamli ma'lumotlarga kirish.
• Massivlik – bir nechta tizim va xizmatlarni bir vaqtning o'zida tekshirish.
• Moslashuvchanlik – yangi zaifliklar paydo bo'lganda agentlar avtomatik ravishda o'z strategiyasini yangilaydi.

Biroq, AI asosidagi testlar ham o'z xavflariga ega: agentlar noto'g'ri maqsadga yo'naltirilgan bo'lsa, ma'lumotlarni ko'proq tarqatish yoki tizimga zarar yetkazish ehtimoli ortadi.

Cheklovlar va ochiq savollar

Hodisa bir qator muhim savollarni tug'diradi:

• AI agentlari qanday etik me'yorlarga rioya qilishi kerak? Hozirgi dasturiy ta'minotda bunday me'yorlar aniq belgilangan emas.
• Uchinchi tomon dasturlari (SaaS) orqali kirish imkoniyati qanday nazorat qilinadi? Anthropic o'zining biznes dasturlarini vendorlardan mustaqil ravishda tekshirishga majbur.
• AI agentlari tomonidan yaratilgan loglar va audit izlari yetarlicha aniqmi? Bu holatda monitoring tizimi bir necha harakatni aniqlagan, lekin vaqtinchalik blokirovka yetarli bo'lmadi.

Shuningdek, AI agentlari orqali amalga oshirilgan har qanday kirish har doim “minimal zarur” prinsipiga mos keladimi, degan savol ham mavjud.

Ta'sir va kelajakdagi yo'nalishlar

Anthropic bu hodisani “cheklangan ma'lumotlar” deb baholadi, lekin hukumat organlari va xavfsizlik mutaxassislari bu vaziyatni milliy xavfsizlik nuqtai nazaridan jiddiy deb hisoblashadi. Alex Stamos, Cognition kompaniyasining bosh xavfsizlik bo'yicha mutaxassisi, kompaniyalar uchinchi tomon dasturlarini boshqarishda zaifliklar ko'p uchrayotganini ta'kidladi.

Kelajakda AI agentlari yordamida zaifliklarni aniqlash jarayoni yanada standartlashtirilishi kutilmoqda. Buning uchun quyidagi choralar tavsiya etiladi:

• AI asosidagi testlar uchun qat'iy ruxsatnomalar va audit protokollarini joriy etish.
• Vendorlar bilan birgalikda “zero‑trust” arxitekturasini mustahkamlash.
• AI agentlari tomonidan yaratilgan loglarni real‑vaqt monitoring qilish va avtomatik blokirovka mexanizmlarini takomillashtirish.

Umuman olganda, bu hodisa AI agentlari kiberxavfsizlik sohasida yangi imkoniyatlar yaratishi bilan birga, nazorat va etik me'yorlarni yanada qat'iylashtirish zarurligini ko'rsatadi.

Asl manba: indiatoday.in