Правда ли, что агенты читали Slack Anthropic?

Так утверждает черновик отчёта Cathedral в пересказе Washington Post: среди найденного названы обсуждения в Slack о продвинутых моделях, записи встреч и данные о зарплатах. Anthropic признала доступ к ограниченному набору систем продаж, HR и IT, а версии о полном доступе к Slack её сотрудник назвал неверными, не уточняя деталей.

Что Anthropic подтвердила официально?

Доступ к ограниченному набору систем продаж, кадров и IT с контактными данными и базовыми учётными записями. Компания заявила, что переписка с Claude, исходный код и веса моделей затронуты не были. Отдельного поста в блоге Anthropic на 30 октября нет, позиция изложена в ответах прессе и публикациях сотрудника в X.

Взлом действительно занял 12 часов?

Это цифра Cathedral. Логан Грэм из Anthropic написал, что компания видела несколько дней попыток, после которых были использованы две уязвимости в стороннем ПО. Об одной Cathedral сообщила, вторую Anthropic нашла сама.

Затронуло ли это пользователей Claude и API?

По заявлению Anthropic, переписка с Claude, исходный код и веса моделей не пострадали, а признаков того, что уязвимостями пользовался кто-то кроме Cathedral, нет. Независимого подтверждения этих слов пока нет, но и обратных данных в открытых источниках мы не нашли.

Что из этого сделать тем, кто запускает агентов?

Сузить права инструментов агента до одной задачи, дать ему отдельный ключ с дневным и месячным лимитом и ограниченным списком моделей, проверить сторонние сервисы, к которым агент подключён. Инцидент показал, что атакуют не модель, а её окружение.

Агенты Cathedral в Slack Anthropic: что подтверждено

Q: Что произошло между Cathedral и Anthropic?

Стартап Cathedral, работавший в рамках программы поиска уязвимостей Anthropic, заявил, что его ИИ-агенты меньше чем за 12 часов нашли путь во внутренние системы компании. Вход нашёлся через сторонний софт для продаж и администрирования. Историю 26 октября 2026 года опубликовала The Washington Post по черновику отчёта Cathedral.

По черновику отчёта Cathedral, который 26 октября пересказала The Washington Post, ИИ-агенты стартапа меньше чем за 12 часов дошли до внутренних систем Anthropic, включая обсуждения в Slack. Anthropic подтвердила доступ к ограниченному набору систем продаж, HR и IT, но оспаривает сроки и масштаб: попытки шли несколько дней, переписка с Claude и веса моделей не затронуты.

Разберём, что здесь заявление одной стороны, что подтверждено второй, и какие выводы из этого стоит сделать тем, кто сам запускает агентов с доступом к рабочим системам.

Что произошло между Cathedral и Anthropic

Короткая версия такая. Cathedral участвовала в программе Anthropic по поиску уязвимостей, где внешним исследователям платят за найденные дыры. Агенты стартапа, работающие многошаговыми цепочками без одобрения человеком каждого действия, по версии Cathedral нашли вход не через Claude и не через код Anthropic, а через сторонний софт для продаж и администрирования.

Первоисточник один: материал Washington Post от 26 октября 2026 года, основанный на черновике отчёта Cathedral, который видела редакция. Собственного публичного отчёта Cathedral мы не нашли. Anthropic отдельного поста в блоге не выпускала; её позиция — это ответы прессе и публикации сотрудника компании Логана Грэма в X.

Стадия на 30 октября: заявление исследователей плюс частичное подтверждение пострадавшей стороны. Независимого технического разбора нет.

Кто такие Cathedral

Стартап в сфере кибербезопасности, которому на момент публикации несколько месяцев. По данным Washington Post, его основали четверо бывших сотрудников DOGE, Департамента эффективности правительства США. В июле компания привлекла 160 млн долларов при оценке 1,4 млрд долларов и продаёт ИИ-инструменты безопасности госагентствам и бизнесу.

Это важно для чтения истории. Cathedral продаёт ровно то, что демонстрирует: агентов, которые ищут уязвимости. Громкий результат против самой известной лаборатории в сфере безопасности ИИ — сильная реклама. Это не делает заявление ложным, но объясняет, почему Anthropic спорит именно о формулировках.

Что Cathedral заявляет о доступе к Slack

По черновику отчёта в пересказе Washington Post и Decrypt, найденные агентами пути открывали:

записи встреч;
данные о зарплатах и предложениях о работе;
сообщения в Slack с обсуждением продвинутых моделей Anthropic.

Cathedral утверждает, что действовала по правилам исследований безопасности и свела доступ к данным «к абсолютному минимуму».

В соцсетях после публикации ходили версии жёстче: бывший сотрудник OpenAI Уилл Депью написал о полном административном доступе к Slack. Грэм ответил, что эти сведения неверны, но по пунктам разбирать не стал, сославшись на деликатность ситуации. Поэтому формулировка «агенты читали весь Slack» на сегодня не подтверждена ни одной из сторон.

Что подтвердила Anthropic, а что оспаривает

Anthropic признала сам факт доступа и в нескольких пунктах расходится с Cathedral.

Вопрос	Версия Cathedral	Версия Anthropic
Сколько времени заняло	меньше 12 часов	несколько дней попыток, затем две уязвимости
Куда был доступ	записи встреч, зарплаты, Slack	ограниченный набор систем продаж, HR и IT
Переписка с Claude, код, веса	не заявлено	не затронуты
Сколько уязвимостей раскрыто	—	две, Cathedral сообщила об одной
В рамках ли программы	да, по правилам	эксплуатация третьих сторон вне безопасной гавани программы

Ещё два пункта из ответов компании. Мониторинг Anthropic, по её словам, заметил часть активности Cathedral ещё до сообщения от исследователей, и доступ закрыли в тот же день. Затронутый сторонний софт отключили до подтверждения исправлений от поставщиков, сами поставщики не названы.

Грэм при этом не отмахивается от результата. Он прямо пишет, что история важна, а найденные проблемы хорошо, что найдены.

Сколько на самом деле длился взлом

Цифра «12 часов» — самая цитируемая и самая спорная. По Anthropic, Cathedral сначала несколько дней пыталась пройти в собственные системы компании, не преуспела и переключилась на сторонние сервисы. Двенадцать часов относятся к этому второму этапу.

Для практических выводов спор почти ничего не меняет. Двенадцать часов или три дня — в обоих случаях речь о сроке, за который у небольшой команды дежурный успевает разве что разобрать почту. Агент работает круглосуточно и не устаёт перебирать варианты.

Почему вход нашёлся в стороннем софте

Это главная техническая деталь истории. Агенты не ломали Claude. Они нашли слабые места в административных и продажных сервисах, которыми пользуется Anthropic и множество других компаний.

Грэм формулирует вывод так: противники будут атаковать агентами всё подряд круглосуточно и бить по зависимостям. По его оценке, на это способны модели, отстающие от передовых на половину-одно поколение, и это самые слабые модели, которые атакующие когда-либо будут использовать.

Для любой компании отсюда следует неприятная вещь. Периметр — это не ваш код, а сумма всех сервисов, где лежат ваши данные: CRM, HR-система, мессенджер, трекер задач. Каждая интеграция с правом чтения расширяет то, до чего доберётся атакующий, если найдёт одну дыру у одного поставщика.

Чему инцидент учит тех, кто сам запускает агентов

Зеркальный вывод. Если чужой агент добрался до Slack через сторонний сервис, то ваш собственный агент с токеном к Slack, CRM и почте — это тот же набор дверей, только открытых изнутри.

Типичная картина у команд, которые подключают агента к рабочим системам: ему выдают токен администратора, потому что так быстрее настроить. Через месяц никто не помнит, что агент умеет удалять каналы и читать личные сообщения. Ошибка в промпте, инъекция в письме или утёкший ключ — и эти права работают уже не на вас.

Разбор похожих случаев, где модели на тестах атаковали реальные компании, — в материале Anthropic разобрала три своих инцидента на кибероценках. А как агент выходит за пределы отведённой среды, показано в статье агент вырвался из песочницы.

Какие права давать инструментам агента

Правило одно: инструмент получает ровно то, что нужно для одной задачи, и ничего на вырост.

Чтение отдельно от записи. Агенту, который составляет сводку по каналу, не нужно право отправлять сообщения.
Один канал или раздел, а не вся система. Токен с доступом к двум каналам Slack вместо всего пространства.
Отдельная служебная учётная запись. Не токен сотрудника и не администратора: тогда его действия видны в журнале и отзываются одной кнопкой.
Подтверждение человеком для необратимого. Удаление, отправка наружу, платёж.
Срок жизни токена. Временный доступ под задачу лучше бессрочного.

Подробная схема — в материале права ИИ-агента: какие доступы давать. Отдельный риск, когда команды агенту приходят из данных, разобран в статье как защититься от промпт-инъекции.

Зачем агенту отдельный ключ с лимитом

Права на инструменты ограничивают, что агент может сделать в ваших системах. Ключ к модели ограничивает, сколько он может потратить и какими моделями.

Для агента с доступом к рабочим системам KeyDealer даёт отдельный API-ключ с дневным и месячным лимитом в рублях, месячным лимитом в токенах и списком разрешённых моделей. При превышении API отвечает 429 key_limit_exceeded, а журнал ключа показывает модель, токены и стоимость каждого запроса без хранения их текстов.

Зачем это при взломе: зациклившийся или перехваченный агент упрётся в дневной потолок за часы, а не опустошит баланс за ночь. Резкий скачок расхода в журнале — ранний сигнал, что агент делает не то, что вы ему поручили. Как выбрать величину лимита по фактическому расходу, разобрано в статье лимит расходов на API-ключ, а где держать сами ключи — в материале как хранить API-ключи.

Что проверить у себя за час

Короткий список, который не требует бюджета на безопасность.

Выпишите все сервисы, к которым подключены ваши агенты, и права каждого токена.
Найдите токены с правами администратора и замените их на служебные с минимальным доступом.
Разведите агентов по отдельным ключам к модели, у каждого — дневной и месячный лимит.
Ограничьте список моделей для каждого ключа: агенту-сводчику не нужен флагман.
Включите оповещения о входах и выдаче токенов в Slack, CRM и почте.
Раз в неделю смотрите журнал ключа: необычная модель или ночная активность заметны сразу.

Атаки на ключи с помощью автономных агентов описаны и в разведке Google, разбор — в материале крадут API-ключи.

Что пока неизвестно

Несколько вопросов остаются открытыми, и ответы на них могут поменять картину.

Какие именно сторонние сервисы были уязвимы — поставщики не названы. Насколько глубоким был доступ к Slack — стороны расходятся, а детали Anthropic не раскрывает. Будет ли опубликован финальный отчёт Cathedral — неизвестно. По данным The Decoder, Anthropic уведомила федеральные власти США; итог этой линии тоже не опубликован.

Чего мы не утверждаем

Мы не утверждаем, что агенты Cathedral читали весь Slack Anthropic. Это версия черновика отчёта в пересказе прессы, и Anthropic её масштаб оспаривает.

Мы не утверждаем, что пострадали клиенты Claude. По заявлению Anthropic, переписка с Claude, код и веса моделей не затронуты; независимой проверки этого нет.

Мы не утверждаем, что лимит ключа защищает от взлома. Он ограничивает расход и даёт сигнал, но не закрывает уязвимость в стороннем сервисе. Это разные уровни защиты.

Что держать в голове

Первое. История на 30 октября — это заявление исследователей и частичное подтверждение Anthropic. Цифра «12 часов» оспорена, масштаб доступа к Slack тоже. Пересказывая её, указывайте стадию.

Второе. Атаковали не модель, а окружение: сторонние сервисы с данными компании. Ваш собственный агент с широкими токенами к рабочим системам — такое же окружение, только изнутри.

Третье. Права инструментов сужайте до одной задачи, а агенту выдавайте отдельный ключ с лимитом и списком моделей. Что мы за проект — на странице о проекте, ключ заводится на keydealer.ru/login.