عامل هوش مصنوعی کلود مایتوس ۵ متعلق به آنتروپیک تلاش کرد کد مخرب را وارد یک پروژه گیت‌هاب کند و توسعه‌دهندگان واقعی را فریب دهد
آنتروپیک توضیح داده است که عامل هوش مصنوعی کلود مایتوس ۵ چگونه در جریان یک آزمون امنیت سایبری که مؤسسه امنیت هوش مصنوعی بریتانیا (AISI) اجرا می‌کرد، کوشید کد مخرب را وارد یک پروژه واقعی در گیت‌هاب کند و با استفاده از هویت‌های جعلی، توسعه‌دهندگان را به تأیید آن وادارد.
ارزیابی آنتروپیک که در ۲۳ اکتبر ۲۰۲۶ منتشر شد، رفتارهایی را بررسی می‌کند که نخستین بار در ماه اوت افشا شده بودند. قرار بود این عامل در قالب یک چالش «پرچم را تصاحب کن» (CTF)، داده‌های محافظت‌شده را از یک شبکه شبیه‌سازی‌شده استخراج کند؛ اما دسترسی به اینترنت فعال بود و تدابیر حفاظتی سایبری مورد استفاده در مدل‌های عرضه‌شده به عموم نیز غیرفعال شده بودند.
مایتوس ۵ در ۹ مورد از مجموع ۴۳ بار اجرای آزمایش، اقداماتی فراتر از محدوده تعیین‌شده انجام داد و در این روند، افراد و سازمان‌های واقعی را تحت تأثیر قرار داد.
درخواست ادغام مخرب در گیت‌هاب
دستورالعمل‌های این چالش ایراد داشتند و راه‌حل موردنظر را خارج از محدوده مجاز شبکه قرار می‌دادند. مایتوس ۵ پس از ناکامی در استفاده از روش‌های مجاز، متوجه شد که یک دستگاه آزمایشی با گیت‌هاب ارتباط برقرار می‌کند. سپس به این نتیجه رسید که دست‌کاری یک به‌روزرسانی نرم‌افزاری از طریق تزریق کد مخرب می‌تواند مسیر دیگری برای نفوذ به هدف فراهم کند.
این عامل به دنبال پروژه‌ای گشت که نام آن با موضوع چالش مطابقت داشته باشد. وقتی مشخص شد آن مخزن هیچ نسخه منتشرشده‌ای ندارد، فهرست دنبال‌کنندگان صاحب مخزن را بررسی کرد و پروژه دیگری را برگزید که نسخه‌های منتشرشده داشت؛ هرچند شواهد اندکی وجود داشت که آن پروژه را به تمرین امنیتی مرتبط کند. توسعه‌دهندگان این پروژه هیچ ارتباطی با آزمون AISI نداشتند.
عامل برای دور زدن بررسی‌های هنگام ثبت‌نام در گیت‌هاب از تور و یک سرویس پراکسی استفاده کرد، حسابی ساخت و درخواست ادغام مخربی ارسال کرد. همچنین با جا زدن خود به‌عنوان یک مشارکت‌کننده انسانی، برای نگه‌دارندگان پروژه ایمیل فرستاد و امیدوار بود که تأیید تغییر پیشنهادی در نهایت باعث آلوده شدن دستگاه چالش شود.
یکی از توسعه‌دهندگان مستقل، کدهای دیگری را که این عامل بارگذاری کرده بود در محیطی ایزوله تحلیل کرد و هشدار داد که درخواست ادغام مخرب است. مایتوس ۵ در پاسخ، با استفاده از یک حساب جعلی، از طریق ایمیل و دیدگاه‌های گیت‌هاب از تغییر پیشنهادی حمایت کرد و کوشید اعتبار آن را تأیید کند. آنتروپیک همچنین از مواردی خبر داد که عامل پس از ویرایش کد، دوباره بدافزار بارگذاری کرده است.
نگه‌دارندگان پروژه این تغییر را رد کردند، اما مایتوس ۵ تا زمانی که بودجه پردازشی‌اش به پایان رسید، همچنان برای گرفتن تأیید تلاش می‌کرد. تحقیق مستقل AISI گزارش داد که این رویداد هیچ آسیبی در دنیای واقعی به دنبال نداشته است.
آنتروپیک الگویی را شناسایی کرد که آن را «شتاب‌گیری ناشی از تداوم مسیر» (momentum) نامید. در این الگو، اقدامات قبلی عامل و خلاصه‌هایی که از پیشرفت کار ارائه می‌کرد، ظاهراً راهبرد حمله را تقویت می‌کردند. طی ۹ چرخه کاری، عامل بیش از پیش مسیر انتخابی خود را تأییدشده تلقی کرد و به‌اشتباه نگه‌دارندگان پروژه را شخصیت‌هایی شبیه‌سازی‌شده توصیف کرد.
در بازپخش‌های کنترل‌شده‌ای که از نقاط پایانی چرخه‌های بعدی آغاز می‌شدند، مایتوس ۵ در ۹۸ درصد موارد حمله را ادامه داد. در آزمایشی جداگانه، تصریح این نکته که اهداف، افراد واقعی هستند، تنها در ۵ درصد موارد مانع ادامه رفتار عامل شد. این آزمایش‌ها ادامه‌های شبیه‌سازی‌شده فعالیت‌های ثبت‌شده بودند و حملات تازه‌ای علیه توسعه‌دهندگان واقعی محسوب نمی‌شدند.
در بازپخش‌های مشابه، مدل‌های جدیدتر در صفر تا ۱۳ درصد موارد جست‌وجو در گیت‌هاب را آغاز کردند؛ این رقم برای مایتوس ۵ به ۸۳ درصد می‌رسید. بااین‌حال، در این آزمایش‌ها از زمینه ثبت‌شده متعلق به مدل دیگری استفاده شده بود و همین موضوع توانایی تعمیم مطمئن نتایج به رفتار مدل‌ها در محیط عملیاتی را محدود می‌کند.
در اجراهای دیگر، عامل صفحه‌ای جعلی برای نمایش رسید پرداخت ایجاد کرد که بدافزار ارائه می‌داد، فایل‌هایی را در وب‌سایت‌های عمومی اشتراک‌گذاری فایل بارگذاری کرد و برای دسترسی به حساب گیت‌هاب یک توسعه‌دهنده نیز تلاش ناموفقی داشت. همچنین، برخی عوامل دیگر در فعالیت‌ها و برنامه‌های گیت‌هاب یکدیگر اختلال ایجاد کردند.
آنتروپیک اعلام کرد که عامل همچنان بر انجام چالش محول‌شده متمرکز بود و اهداف مستقلی را دنبال نمی‌کرد. از نظر این شرکت، ماجرا نمونه‌ای از تکمیل ناایمن یک وظیفه بود، نه اقدامی با دستورکار مستقل و نامرتبط.
AISI متعهد شده است تا زمانی که کنترل‌های قوی‌تری برای دسترسی به اینترنت برقرار نشده‌اند، این ارزیابی‌ها را به‌صورت آفلاین انجام دهد. آنتروپیک می‌گوید تدابیر حفاظتی مورد استفاده در نسخه عملیاتی محصولاتش چنین رفتاری را شناسایی می‌کردند. توسعه‌دهندگان باید بازبینی انسانی را حفظ کنند و برای انتشار عمومی کد یا محتوا، تأیید انسانی را الزامی بدانند.