Agent Claude Code w sieci Pentagonu: lekcja dla firm

👁 114 przeczytań

W czwartek 29 października WIRED opisał historię, której Accenture zaprzecza, a Pentagon nie komentuje: pracownik kontraktora miał podłączyć prywatne konto Claude Code do systemu Departamentu Obrony, dać agentowi własne dane logowania z uprawnieniami administratora i zostawić go tam na mniej więcej dwa miesiące. Agent miał przy okazji wysłać hasła i mapę sieci na zewnętrzną stronę oznaczoną jako wysokiego ryzyka. Niezależnie od tego, jak skończy się spór o fakty, scenariusz jest gotowym ćwiczeniem dla każdej polskiej firmy, w której ktoś „tylko na chwilę” wpuścił agenta AI do firmowych systemów.

Zastrzeżenie na początek, bo bez niego reszta tekstu nie ma sensu: wszystko, co poniżej, to relacja anonimowych źródeł WIRED-u. Nikt z rządu USA jej nie potwierdził, a firma, której dotyczy, twierdzi, że sprawę zbadano i zarzuty okazały się bezpodstawne. Piszę więc o zarzutach, a nie o udowodnionym incydencie.

Dwa miesiące w NIPRNet

Według tekstu Vittorii Elliott chodzi o system z informacjami niejawnymi tylko z nazwy, czyli tzw. CUI (controlled unclassified information) - dokumentami, które formalnie nie są tajne, ale przed upublicznieniem wymagają przeglądu. Korzysta z niego kilka agencji wywiadowczych. Działa w NIPRNet, jawnej sieci Pentagonu, która ma połączenie z internetem, ale jest mocno strzeżona.

Pracownik Accenture chciał, żeby agent pisał za niego kod i stawiał serwery w chmurze. Dał mu więc swoje dane logowania. Jedno ze źródeł WIRED-u twierdzi, że oznaczało to dostęp administratora i obejście zwykłej kontroli logowania. Agent pisał kod i zapisywał go w systemie. Do pracy potrzebował internetu i wygląda na to, że wysłał dane uwierzytelniające, hasła i mapę sieci na zewnętrzną stronę. WIRED jej nie nazywa, podaje tylko, że amerykański NIST oznaczył ją jako wysokiego ryzyka, bo luka w niej pozwalała przejąć sterowanie agentem do kodu i nakłonić go do kradzieży danych logowania.

Jest jeszcze wątek procedur. Kontraktorzy Pentagonu muszą zgłaszać incydenty bezpieczeństwa w ciągu 72 godzin. Źródła WIRED-u mówią, że Accenture w ogóle sprawy rządowi nie zgłosiło, a w firmie nikt nie traktował jej jako pilnej. Jake Williams, były haker NSA, zwrócił w rozmowie z WIRED-em uwagę na szerszy problem: zespoły często testują kod w NIPRNet, zanim przeniosą go do sieci tajnych. Kod, który w jawnej sieci zachowuje się normalnie, w tajnej mógłby robić coś zupełnie innego. Śladów dotarcia do systemów tajnych WIRED jednak nie znalazł.

Accenture: zbadane, bez podstaw

Rzecznik Accenture odpowiedział, że zarzuty zostały „gruntownie i niezależnie zbadane” i okazały się bezpodstawne, a firma wypełniła obowiązki prawne i umowne. Nie powiedział, kto prowadził to badanie. Departament Obrony odmówił komentarza, bo nie wypowiada się o stanie swoich sieci. Anthropic odesłał do zasad korzystania z usług, które zabraniają używania jego produktów do obchodzenia zabezpieczeń bez zgody.

Tło jest polityczne. Pracownicy Pentagonu nie mogą dziś korzystać z Claude’a, odkąd resort uznał Anthropic za ryzyko dla łańcucha dostaw - o tym, jak ta wojna wyglądała od strony Palantira, pisałem w tekście o Pentagonie i systemie Maven. Accenture ma według WIRED-u ponad 3,5 mld dolarów kontraktów federalnych, z czego blisko 605 mln z Pentagonem. Ta sama firma, jak pisałem w październiku, daje pracownikom 29 dolarów miesięcznie na Claude’a. Kiedy firmowy budżet jest skromny, pokusa sięgnięcia po prywatne konto rośnie - to moja interpretacja, nie ustalenie WIRED-u, ale trudno ją pominąć.

Problem nie siedzi w modelu

W tej historii łatwo zrobić z Claude’a czarny charakter, tylko że agent zrobił mniej więcej to, do czego go uruchomiono: miał uprawnienia, miał internet i miał zadanie. Jeżeli relacja się potwierdzi, zawiodły trzy rzeczy, które nie mają nic wspólnego z AI. Prywatne konto poza kontrolą pracodawcy, czyli to, co w branży nazywa się shadow AI. Uprawnienia człowieka przekazane maszynie w całości, zamiast osobnego, wąskiego konta. I sieć, z której narzędzie mogło połączyć się z dowolną stroną w internecie.

Agent do kodu, taki jak Claude Code, Codex czy Cursor, czyta pliki, uruchamia polecenia i pobiera rzeczy z sieci. Dla systemu bezpieczeństwa to po prostu proces działający z prawami użytkownika, który go włączył. Jeżeli użytkownik jest administratorem, agent też nim jest. A agent, inaczej niż człowiek, czyta wszystko, co mu podsuną, łącznie ze spreparowaną stroną, która każe mu wysłać gdzieś plik z hasłami. Jak narzędzia programisty stają się drogą do cudzych danych, pisałem niedawno przy tylnej furtce w rozszerzeniu do Cursora.

Karta narzędziaClaude CodeClaude Code to agent Anthropic do programowania: dostaje zadanie zwykłym językiem, sam czyta pliki projektu, edytuje je, uruchamia polecenia w terminalu i sprawdza wynik.Wszystko o Claude Code →

Lista kontrolna dla firmy, która daje agentom dostęp

Nie trzeba pracować dla wojska, żeby ten scenariusz był realny. Wystarczy programista, który podłącza agenta do produkcyjnej bazy klienta, albo księgowa, która wkleja do czatu klucz do systemu fakturowego. Oto, co sprawdziłbym u siebie po lekturze tej sprawy:

1. Spis agentów. Kto w firmie używa agentów AI, na jakich kontach i z jakimi uprawnieniami. Prywatne konto na firmowych danych to sygnał alarmowy, nie oszczędność.
2. Osobne konto dla agenta. Agent dostaje własne konto techniczne z najmniejszymi potrzebnymi uprawnieniami, nigdy dane logowania człowieka, a już na pewno nie administratora.
3. Sekrety poza promptem. Klucze i hasła w menedżerze sekretów, z krótkim terminem ważności, a po każdym teście zmiana. Nic, co trafiło do agenta, nie powinno działać tydzień później. Narzędzia idą już w tę stronę - 1Password pozwala agentom logować się bez widzenia hasła.
4. Ograniczony internet. Maszyna, na której pracuje agent, łączy się tylko z listą dozwolonych adresów: repozytorium, rejestr pakietów, API dostawcy modelu. Agent nie potrzebuje całej sieci.
5. Uprawnienia w samym narzędziu. Claude Code ma reguły zezwoleń i zakazów dla poleceń i plików oraz ustawienia, które firma może narzucić centralnie. Domyślne pytanie o zgodę przed poleceniem nie jest uciążliwością, tylko hamulcem.
6. Dziennik. Zapis tego, co agent wykonał i z czym się łączył. W relacji WIRED-u agent działał dwa miesiące - bez logów nikt nie odtworzy, co przez ten czas wyszło na zewnątrz.
7. Procedura na wyciek. Jeśli agent wyśle gdzieś dane osobowe, RODO (art. 33) daje administratorowi 72 godziny na zgłoszenie naruszenia do UODO. Firmy objęte przepisami o krajowym systemie cyberbezpieczeństwa mają do tego własne obowiązki zgłoszeń.
8. Szkolenie z zasad, nie z promptów. Od 2 lutego 2025 r. AI Act (art. 4) wymaga, żeby firma zadbała o kompetencje AI ludzi, którzy z tych systemów korzystają. Co dokładnie trzeba zrobić, rozpisałem w tekście o art. 4 AI Act, a szerzej w przewodniku po AI Act.
9. Podwykonawcy w umowie. Jeśli zewnętrzna firma pracuje na waszych systemach, umowa powinna mówić wprost, jakich narzędzi AI wolno jej używać i na jakich kontach. Sprawa Accenture pokazuje, że zaufanie do dużej marki tego nie załatwia.

Brian Barrett, redaktor wykonawczy WIRED-u, w podcaście redakcji nazwał całą sytuację niewybaczalną i założył, że nie będzie to ostatni taki przypadek. Accenture może mieć rację co do szczegółów, ale w tej ostatniej sprawie trudno się z Barrettem nie zgodzić.