Agenci AI startupu Cathedral weszli do systemów Anthropic

Jak agenci Cathedral dostali się do systemów Anthropic

Washington Post opisał sprawę 26 października 2026 roku na podstawie wstępnego raportu Cathedral. Startup nie zaatakował bezpośrednio infrastruktury Anthropic. Jego agenci AI wykorzystali słabe punkty w zewnętrznych narzędziach do obsługi sprzedaży i administracji, z których korzysta Anthropic i wiele innych firm. Nazw tych dostawców nie ujawniono.

Anthropic przekazało Washington Post, że badacze Cathedral przez kilka dni bezskutecznie próbowali wejść do własnego oprogramowania firmy. Dopiero potem przenieśli uwagę na aplikacje dostawców. Cathedral podaje, że samo dotarcie do danych zajęło mniej niż 12 godzin, a Anthropic opisuje całe sondowanie jako trwające kilka dni.

Do jakich danych dotarli badacze

Wersje obu stron wyraźnie się różnią. Wstępny raport Cathedral, cytowany przez Washington Post i Fast Company, wymienia transkrypcje spotkań, dane o wynagrodzeniach i ofertach pracy oraz wiadomości ze Slacka dotyczące zaawansowanych modeli Anthropic. Startup zapewnia, że dostęp do danych ograniczył do minimum.

Anthropic potwierdza wejście do ograniczonego zestawu systemów sprzedaży, HR i IT, w których były dane kontaktowe klientów i partnerów biznesowych oraz podstawowe dane kont użytkowników. Firma twierdzi, że nie znalazła śladów wykorzystania tych luk przez nikogo poza Cathedral. Rozmowy klientów z Claude, kod źródłowy i wagi modeli nie były według niej zagrożone.

• Według Cathedral - transkrypcje spotkań, wynagrodzenia, oferty pracy, wiadomości ze Slacka o modelach.
• Według Anthropic - ograniczona część systemów sprzedaży, HR i IT, dane kontaktowe klientów i partnerów, podstawowe dane kont.
• Poza zasięgiem według Anthropic - rozmowy klientów z Claude, kod źródłowy i wagi modeli.

Spór o zasady programu testów

Cathedral działał w ramach programu wzorowanego na bug bounty, czyli płatnym zgłaszaniu luk przez zewnętrznych badaczy. Anthropic twierdzi, że startup nie ujawnił części swoich działań, przekroczył zasady chroniące uczciwych badaczy, bo atakował oprogramowanie firm trzecich i pobierał dane, oraz wyolbrzymił znaczenie sprawy dla bezpieczeństwa narodowego USA. Cathedral odpowiada, że postępował zgodnie ze standardową praktyką.

THE DECODER, powołując się na wpisy Logana Grahama z zespołu red team Anthropic, podaje, że Cathedral znalazł dwie luki, a zgłosił jedną. Drugą Anthropic miało wykryć i załatać samodzielnie. Firma podaje też, że jej monitoring oznaczył część aktywności Cathedral, zanim startup ją zgłosił, i że poinformowała o incydencie federalne władze USA.

Do sprawy dołączył spór w mediach społecznościowych. Will Depue napisał, powołując się na nienazwane źródła, że Cathedral miał pełne uprawnienia administratora Slacka i mógł logować się na dowolne konto. Graham odpowiedział, że te informacje są nieprawdziwe, ale nie podał szczegółów. Żadna z tych wersji nie została niezależnie potwierdzona.

Dlaczego sprawa trafiła do Waszyngtonu

Raport Cathedral krążył według Washington Post wśród urzędników administracji USA. Nienazwany wysoki rangą przedstawiciel administracji powiedział dziennikowi, że skoro młody startup potrafi to zrobić, to Chińczycy mogą być niedaleko. Według Fast Company Cathedral określa się jako firma cyberbezpieczeństwa oparta na AI, skupiona na zastosowaniach wojskowych.

Sprawa zbiega się z debiutem giełdowym Anthropic. Firma złożyła prospekt S-1 26 października, a w opisanych tam czynnikach ryzyka wymienia między innymi incydenty bezpieczeństwa. Dla inwestorów i klientów korporacyjnych sposób zgłoszenia i obsługi takiego testu ma więc wymiar reputacyjny, niezależnie od rzeczywistej skali dostępu.

Czego ten incydent uczy polskie firmy

Najważniejszy wniosek nie dotyczy samego Anthropic. Atak nie przeszedł przez zabezpieczenia modelu ani główną infrastrukturę, tylko przez zwykłe narzędzia biurowe dostawców zewnętrznych, takie jak systemy sprzedaży czy obsługi kadr. Agenci AI skracają czas potrzebny na znalezienie takich słabych punktów, więc ryzyko łańcucha dostaw oprogramowania rośnie także w mniejszych firmach.

W naszej ocenie warto potraktować tę sprawę jako przegląd własnych integracji. Poniższa lista nie zastępuje audytu bezpieczeństwa, ale porządkuje pierwsze kroki dla firmy korzystającej z wielu aplikacji w chmurze.

1. Spisz wszystkie aplikacje zewnętrzne z dostępem do poczty, komunikatora, CRM i systemu kadrowego oraz wyłącz nieużywane integracje.
2. Ogranicz uprawnienia kont serwisowych i tokenów do minimum potrzebnego do pracy oraz wymuś logowanie jednokrotne z uwierzytelnianiem wieloskładnikowym.
3. Włącz i przeglądaj dzienniki dostępu w narzędziach SaaS, nie tylko w głównej infrastrukturze.
4. Jeśli zapraszasz zewnętrznych testerów, opisz na piśmie, czy wolno im badać oprogramowanie dostawców i pobierać dane, oraz jak szybko mają zgłaszać każdą lukę.
5. Incydenty i podejrzane zdarzenia można zgłaszać do CERT Polska, który prowadzi bieżące ostrzeżenia dla firm i użytkowników.

Czego jeszcze nie wiadomo

Pełny raport Cathedral nie został opublikowany, a jego treść znana jest z relacji Washington Post. Nie wiadomo, których dostawców dotyczyły luki, czy zostały już załatane u innych klientów tych firm ani czy Cathedral otrzymał nagrodę w programie Anthropic. Ostateczna ocena skali dostępu zależy od ewentualnych dalszych ujawnień obu stron.