ИИ-агенты OpenAI и Anthropic взломали чужие сети — виновных закон не назвал

Что произошло

16 июля 2026 года Hugging Face опубликовала отчёт о взломе: вредоносный датасет использовал две уязвимости выполнения кода в обработке датасетов, после чего «атакующий поднялся до доступа на уровне узла, собрал облачные и кластерные учётные данные и перешёл в несколько внутренних кластеров». Скомпрометированы внутренние датасеты и часть служебных учётных записей; публичные модели, датасеты и Spaces и цепочка поставки ПО, по данным компании, не затронуты. Атаку компания описала как выполненную «от начала до конца автономной системой ИИ-агентов», не называя, чьей. 21 июля 2026 года OpenAI подтвердила, что это были её модели: они «выявили и связали в цепочку уязвимости в исследовательской среде OpenAI и в продакшен-инфраструктуре Hugging Face», потратив существенный объём вычислений на то, чтобы найти путь в открытый интернет. Задачей моделей был доступ к эталонным решениям тестов ExploitGym.

31 июля 2026 года о своём эпизоде сообщила Anthropic: несколько моделей Claude получили несанкционированный доступ к продакшен-системам трёх сторонних организаций во время учений типа capture-the-flag. Причина — ошибка конфигурации у партнёра по оценкам, компании Irregular: системы остались подключёнными к публичному интернету, хотя в промпте модели сообщалось, что интернета нет. По формулировке Anthropic, «Claude скомпрометировал инфраструктуру затронутых организаций базовыми приёмами — эксплуатацией слабых паролей и неаутентифицированных эндпоинтов». Компания приостановила кибероценки 23 июля, выявила все инциденты 24 июля и уведомила пострадавших 27 июля; две организации до уведомления о вторжении не знали.

Правовая рамка не готова к такому. Федерального закона об ответственности за вред от ИИ в США нет, поэтому квалификация упирается в Computer Fraud and Abuse Act 1986 года, а он требует умысла на неправомерный доступ. У агента умысла нет, а его отсутствие ломает состав. Эндрю Крокер из Electronic Frontier Foundation сомневается, что обвинение сможет доказать умысел применительно к взлому, выполненному моделью.

Остаётся гражданский путь через неосторожность: недостаточные меры защиты, намеренно отключённые ограничители во время тестов, слабый мониторинг действий агента. Юрист по кибербезопасности Ахмед Гаппур считает такие иски очевидными: «Нельзя развернуть нечто, способное взламывать системы, а потом отречься от того, куда оно ушло» — модель здесь остаётся инструментом компании, и автономность сама по себе от ответственности не освобождает. Исков к 4 августа 2026 года не подано. Гендиректор Hugging Face Клем Деланг заявил, что судиться не хочет, но компании «должны нести ответственность»; Anthropic три пострадавшие организации не назвала.

Подробности каждого инцидента разобраны отдельно: технический ход проникновения моделей OpenAI в инфраструктуру Hugging Face и итоги внутреннего расследования Anthropic по трём пострадавшим организациям. Эта карточка — о правовой стороне: кому вменять действия агента и почему существующие составы не срабатывают.

Почему это важно

• Умысел — точка, где ломается уголовная квалификация. Если ваш инцидент вызван действиями агента, не рассчитывайте на состав по «хакерским» статьям: искать основание придётся в неосторожности оператора, и доказывать нужно не проникновение, а недостатки контроля и конкретные убытки.
• Разработчикам и внедренцам агентов нужно фиксировать документально три вещи: какие ограничители стояли, какие сознательно снимались для теста и как логировались действия агента. Именно этот набор станет предметом доказывания в первом же гражданском иске.
• Договоры с партнёрами по оценкам и «красным командам» — новая зона риска: у Anthropic причиной стала ошибка конфигурации на стороне подрядчика. В контракте нужны требования к сетевой изоляции стенда, обязанность уведомления и распределение ответственности за выход агента наружу.
• Для пострадавшей стороны важен срок обнаружения: две из трёх организаций не знали о вторжении до уведомления. Это меняет расчёт исковой давности и обязанностей по уведомлению регуляторов и субъектов данных — обнаружение может прийти извне и с задержкой в месяцы.