Un contractor al firmei Accenture ar fi conectat un cont personal Claude Code la o rețea securizată folosită de mai multe agenții de informații americane, iar agentul AI ar fi trimis credențiale și informații despre sistem către un site terț cu risc ridicat. Potrivit unei investigații WIRED, agentul a funcționat în mediul Departamentului Apărării al SUA timp de două luni, înainte ca problema să fie identificată și remediată.
Rețeaua conținea informații neclasificate controlate — CUI — o categorie care nu este destinată publicării fără verificare și poate include date despre infrastructură critică, propulsia submarinelor nucleare sau vulnerabilități legate de terorism chimic și biologic. Surse citate de WIRED avertizează că accesul la acest mediu ar fi putut pune în pericol și sisteme mai sensibile, deși publicația nu a identificat dovezi că acestea au fost compromise.
Acces administrativ acordat unui agent AI personal
Contractorul ar fi conectat mediul de producție al Pentagonului la propriul cont Claude, pentru ca agentul de programare al Anthropic să scrie și să implementeze cod. Claude nu este autorizat în prezent pentru utilizare de către personalul Departamentului Apărării, iar incidentul descris implică folosirea unui cont personal, nu a unui serviciu AI aprobat instituțional.
Pentru a automatiza scrierea codului și pornirea serverelor cloud, angajatul i-ar fi furnizat agentului propriile date de autentificare. Astfel, agentul ar fi primit acces administrativ și ar fi putut ocoli controalele de securitate aplicate în procesul obișnuit de conectare; totodată, acesta nu doar genera cod, ci îl și salva sau îl publica în sistem în numele contractorului.
Pentru a-și îndeplini sarcinile, agentul trebuia să comunice cu internetul. În acest proces, ar fi transmis către un serviciu terț credențialele contractorului, parole și o hartă a rețelei NIPRNet, potrivit surselor WIRED; publicația a refuzat să numească site-ul, invocând riscul de a expune suplimentar sistemul.
Institutul Național pentru Standarde și Tehnologie din SUA (NIST) identificase anterior serviciul respectiv drept unul cu risc ridicat, deoarece o vulnerabilitate ar putea permite atacatorilor să injecteze instrucțiuni într-un agent AI de programare și să îl determine să fure credențiale. Nu este clar dacă informațiile trimise au fost păstrate de serviciu sau ce s-a întâmplat cu ele după transmitere.
NIPRNet nu este clasificată, dar nici lipsită de miză
Mediul accesat rulează pe NIPRNet, rețeaua Departamentului Apărării pentru informații neclasificate. Aceasta permite personalului și contractorilor să folosească e-mailul și browserul, dar este puternic securizată; faptul că datele nu sunt clasificate nu înseamnă că pot fi scoase din infrastructură sau tratate ca informații publice.
CUI poate cuprinde date cu caracter personal, informații comerciale ori contractuale și detalii despre securizarea explozibililor, substanțelor chimice periculoase sau conductelor. Lista poate include și documente despre proiectarea echipamentelor militare ori spațiale, precum și locația exactă și cantitățile materialelor radioactive, conform informațiilor publicate de Departamentul Apărării.
O hartă a sistemului poate fi valoroasă chiar dacă nu dezvăluie, luată separat, secrete clasificate. Matt Triner, fondatorul firmei de consultanță IT Hunter Strategy, a declarat pentru WIRED că un adversar poate folosi modul în care sunt conectate componentele pentru a transforma date aparent publice în informații operaționale și pentru a identifica mai repede „bijuteriile coroanei”.
Jake Williams, fost hacker al NSA și cadru didactic la firma de consultanță în securitate IANS, avertizează că agregarea unor informații neclasificate poate produce, în sine, un tablou sensibil. El oferă drept exemplu combinarea locației unor materiale periculoase cu informații despre vulnerabilitățile instalațiilor care le găzduiesc: ansamblul poate dezvălui mai mult decât fiecare element separat.
Cum ar putea ajunge un cod malițios în sisteme clasificate
Nu există indicii că atacatorii au pătruns în rețele clasificate sau strict secrete. SIPRNet, folosită pentru informații clasificate, și JWICS, intranetul securizat pentru informații strict secrete, sunt separate fizic de rețelele externe — o măsură numită air gap, care face accesul de la distanță extrem de dificil.
Totuși, instrumentele și codul sunt adesea testate mai întâi pe NIPRNet, înainte de a fi transferate către sisteme mai sensibile. Dacă cineva ar obține acces folosind credențialele expuse și ar introduce o ușă din spate într-un instrument, codul ar putea ajunge ulterior într-o rețea izolată dacă verificările nu o detectează.
„Codul ar putea funcționa complet normal pe NIPR și să facă ceva malițios, nedezvăluit, într-o rețea SIPR”, a spus Williams, subliniind că un astfel de scenariu este posibil, nu că s-ar fi întâmplat în acest caz. Extragerea datelor din rețelele izolate ar fi dificilă, dar codul malițios ar putea ataca sistemele din interior; Williams consideră că o posibilitate ar fi un atac distribuit de tip denial-of-service.
Efectele nu s-ar limita neapărat la furtul de informații. Triner a avertizat că încetinirea operațiunilor de informații sau compromiterea încrederii într-un instrument ar putea produce prejudicii chiar și după remedierea vulnerabilității, prin perturbarea activității și afectarea modului în care utilizatorii se bazează pe sisteme.
Două luni până la identificare, iar raportarea rămâne contestată
Potrivit surselor WIRED, agentul a rulat în rețeaua Departamentului Apărării timp de două luni. Aceleași surse au spus că angajații Accenture nu ar fi tratat situația ca pe un incident urgent și că firma nu ar fi raportat inițial autorităților breșa, deși personalul Pentagonului și contractorii federali trebuie să raporteze incidentele cibernetice în 72 de ore de la descoperire.
Accenture a respins acuzațiile printr-o declarație transmisă WIRED: „Luăm toate preocupările în serios. Aceste afirmații au fost investigate temeinic și independent și s-au dovedit nefondate.
Ne-am respectat pe deplin obligațiile legale și contractuale.” Întrebată cine a efectuat investigația, compania nu a oferit clarificări și nici nu a contestat explicit că a existat un incident care ar putea fi caracterizat astfel.
Un purtător de cuvânt al Departamentului Apărării a declarat că instituția „nu comentează starea rețelelor sau sistemelor sale”. O sursă familiarizată cu incidentul, care a vorbit sub protecția anonimatului pentru că nu era autorizată să discute cu presa, a descris riscul drept unul de securitate națională și a avertizat că accesul la sistem ar putea permite cuiva să intre într-un mediu securizat fără să fie detectat.
Contextul amplifică îngrijorarea: angajatul citat de WIRED a spus că incidentul s-a produs într-o perioadă în care Iranul a încercat să atace mai multe agenții federale și părți ale infrastructurii americane. „Este cel mai prost moment pentru o atitudine atât de nepăsătoare”, a afirmat acesta.
Contractele guvernamentale și presiunea de a livra mai repede
Accenture are contracte cu guvernul federal american în valoare de peste 3,5 miliarde de dolari, dintre care aproape 605 milioane sunt cu Departamentul Apărării. Firma lucrează și pentru alte instituții, între care Departamentul Educației, Administrația Serviciilor Generale și Departamentul Energiei.
WIRED amintește și un incident separat relatat în aceeași lună: FBI a constatat că un contractor Accenture nu a aplicat un patch pentru o vulnerabilitate, ceea ce a permis grupării ShinyHunters să acceseze datele a mii de angajați ai Biroului. FBI a îndepărtat contractorul la începutul lunii octombrie; relatarea nu stabilește o legătură tehnică între acel caz și incidentul NIPRNet.
Triner spune că problema reflectă stimulentele contradictorii cu care se confruntă contractorii guvernamentali. Unele companii se tem că raportarea unui incident le-ar putea costa contracte, deși raportarea este atât o obligație legală, cât și pasul necesar pentru limitarea pagubelor; în opinia sa, situația descrisă de WIRED trebuia raportată.
Presiunea de a livra proiecte mai repede și mai ieftin intră, de asemenea, în conflict cu prioritizarea securității. Triner observă că aceste stimulente existau înainte de apariția instrumentelor AI, dar automatizarea accelerează aceeași problemă: poate crește ritmul de dezvoltare fără să ofere echipelor mai mult timp pentru verificări.
Codul generat de AI complică verificarea lanțului de încredere
Programarea asistată de AI, numită adesea „vibe coding”, permite unui inginer să descrie un produs, iar unui asistent să genereze codul. Însă volumul de cod produs de modele poate depăși capacitatea echipelor de a-l analiza, iar proveniența fiecărei componente și a fiecărui pas de generare poate fi greu de urmărit.
Williams avertizează că echipele pot să nu cunoască nici lanțul de aprovizionare, nici „lanțul de inferență” care a contribuit la cod. Modelele au fost antrenate, între altele, pe cod existent, care poate conține vulnerabilități și probleme de arhitectură; un model le poate reproduce în cod nou, fără ca acest lucru să fie evident la prima vedere.
Rețelele guvernamentale pot folosi SAST — testarea statică de securitate a aplicațiilor — pentru a scana codul după erori și vulnerabilități înainte de rulare. Dar o ușă din spate introdusă intenționat nu este neapărat o vulnerabilitate detectabilă de aceste instrumente, iar SAST nu identifică în mod obișnuit problemele structurale din lanțul logic prin care a fost creat codul.
Anthropic a îndrumat WIRED către politica sa de utilizare. Aceasta le cere utilizatorilor să nu folosească produsele companiei pentru a „interfera cu funcționarea bazelor militare și a infrastructurii conexe” și nici pentru a ocoli fără autorizare controalele de securitate, inclusiv autentificarea, protecția endpointurilor sau instrumentele de monitorizare.
Lecțiile pentru organizațiile din România și Uniunea Europeană
Pentru instituțiile și companiile din România și UE, cazul nu dovedește că sistemele europene au fost compromise, dar arată cum un cont AI personal poate deveni o cale de exfiltrare atunci când primește credențiale privilegiate și acces la un mediu conectat la internet. Riscul nu depinde de faptul că datele sunt clasificate: informațiile despre infrastructură, configurații și relațiile dintre sisteme pot avea valoare operațională pentru un atacator.
Organizațiile care folosesc agenți AI pentru dezvoltare ar trebui să interzică accesul conturilor personale la medii de producție și la rețele sensibile. Accesul trebuie acordat numai prin instrumente aprobate, cu privilegii minime, autentificare controlată și jurnalizare; secretele nu trebuie furnizate agentului în mod care să-i permită să le transmită către servicii externe.
Dacă există suspiciunea că un agent a avut acces la credențiale, echipele de securitate trebuie să le revoce și să le rotească, să verifice jurnalele de autentificare și conexiunile externe și să stabilească ce date au părăsit mediul. Orice incident trebuie escaladat potrivit procedurilor aplicabile și obligațiilor contractuale sau de reglementare, fără a aștepta o certitudine imposibilă despre folosirea efectivă a datelor de către un atacator.
Codul generat automat trebuie tratat ca un aport extern: revizie umană, verificarea dependențelor și a provenienței, teste de securitate în medii izolate și controlul modificărilor înainte de implementare. SAST rămâne util, dar nu înlocuiește analiza arhitecturii, evaluarea comportamentului și verificarea independentă a codului destinat sistemelor critice.
Incidentul readuce în atenție un precedent semnalat de ProPublica: anul trecut, publicația a relatat că Microsoft folosea „escorte digitale” în proiecte federale, prin care angajați americani cu autorizații de securitate supravegheau cod scris de lucrători subcontractați în China. Experții citați au avertizat atunci că supraveghetorii nu puteau verifica întotdeauna codul, ceea ce ar fi lăsat deschisă posibilitatea introducerii neobservate de cod malițios.
Williams spune că orice informație despre NIPRNet care nu poate fi obținută din surse publice este tratată de Departamentul Apărării ca informație cu acces restricționat, chiar dacă nu atinge o rețea clasificată. Pentru instituțiile care integrează AI în dezvoltare, lecția este una practică: viteza de generare nu poate înlocui controlul accesului, verificarea codului și raportarea promptă a incidentelor.
