Güvenlik araştırmacısı Jamieson O'Reilly'nin 7 Kasım'da yayımladığı bildiriye göre Anthropic, kurumsal Claude müşterilerine bir üçüncü taraf siber güvenlik araştırma şirketinin iş iletişim ve hesap bilgilerine yetkisiz erişim sağladığını duyurdu. Kurumsal hesaplarda açığa çıkan alanlar arasında hesap kimliği, kuruluş kimliği, plan seviyesi ile kullanım ve harcama ölçümleri var; söyleşiler, parolalar ve ödeme bilgileri kapsam dışı. Firma bildiride adlandırılmadı — açıklama, Anthropic'in Ekim sonunda doğruladığı Cathedral erişimiyle örtüşüyor.
Claude’un yapımcısı Anthropic, iş müşterilerine gönderdiği ve ‘Kuruluşunuzun Hesap Bilgilerine İlişkin Bildirim’ başlığını taşıyan e-postayla, adını vermediği bir üçüncü taraf siber güvenlik araştırma şirketinin müşteri verilerine yetkisiz erişim sağladığını bildirdi. Bildiriyi 7 Kasım’da X’te yayımlayan güvenlik araştırmacısı Jamieson O’Reilly’nin paylaşımı bir günde bin beş yüzü aşkın beğeni topladı; Anthropic’in kendi kanallarında konuya ilişkin kamuoyu açıklaması bulunmuyor.
Bildirinin kapsamı ölçülü ama kurumsal açıdan hassas: etkilenen veri ‘iş iletişim ve hesap bilgileriyle’ sınırlı. Kurumsal Claude hesaplarında açığa çıkan alanlar arasında hesap kimliği, kuruluş kimliği, plan seviyesi ve kullanım ile harcama ölçümleri sayılıyor — yani rakip ya da müşteri gözüyle ticari olarak değerli bir haritayı ele veren metrikler. Bildiri, Claude ile yapılan söyleşilerin içeriğinin, parolaların ve ödeme kartı ile banka hesabı bilgilerinin kapsam dışı olduğunu vurguluyor.
Anthropic’in anlattığı yanıt hattı şöyle: şirket erişimi fark ettiğinde üçüncü tarafın erişimini derhal kapatmış, tespit ettiği açıkları kapatmış ve soruşturma başlatmış. Bildiriye göre güvenlik firması eriştiği verileri sildiğini ve kullanmayacağını YAZILI olarak beyan etmiş; Anthropic verilerin değiştirildiğine, silindiğine ya da kötüye kullanıldığına dair kanıt bulamadığını ve olayı ‘ilgili Kore makamlarına’ bildirdiğini ekliyor — bildiri Kore düzenleyicilerinin özellikle neden devrede olduğunu açıklamıyor.
En çok tartışılan nokta, firmanın adının verilmemesi. Bildirinin tanımladığı erişim, Anthropic’in Ekim sonunda Washington Post üzerinden doğruladığı olayla neredeyse birebir örtüşüyor: dört eski Hükümet Verimliliği Dairesi (DOGE) çalışanı tarafından kurulan aylık Cathedral adlı siber güvenlik girişimi, yapay zekâ ajanlarını Anthropic’in satış, insan kaynakları ve BT sistemlerine 12 saatten kısa sürede sokmuştu — giriş Claude üzerinden değil, üçüncü taraf idari ve satış yazılımları üzerinden yapılmıştı. Anthropic o zaman Cathedral’ın hata ödül programının kurallarına tam uymadığını, tüm etkinliği bildirmediğini söylemiş; izleme sisteminin faaliyetin bir kısmını firmadan önce yakaladığını ve erişimi aynı gün kestiğini aktarmıştı. Anthropic şimdi bildirilerin Cathedral’a mı ilişkin olduğunu doğrulamadı; başka bu tür bir erişim de açıklamadı.
Eleştiri de gecikmedi. O’Reilly izleyen paylaşımlarında araştırma firmasının kim olduğunu ve erişimin kolluk kuvvetlerine bildirilip bildirilmediğini sordu; ayrıca Anthropic’in ‘herhangi belirli bir kişinin bilgisinin görüntülendiği doğrulanamaz’ derken alıcıların ek risk altında olmadığını da söylemesinin çelişkili olduğuna dikkat çekti. Bildiri etkilenen kuruluş ve kişi sayısını vermiyor; hangi kuruluşun kayıtlarının etkilenen sistemlerde yer aldığını öğrenmek isteyen müşterilere yalnızca e-postadaki gizlilik adresi gösteriliyor. Bildiri, kuruluşların kendi personelini uyarmayı istemesi halinde ‘ihtiyat’ amacıyla gönderildiğini belirtiyor — yani çalışanları bilgilendirme kararı müşteri şirketlere bırakılmış durumda.