120.000 de caractere expuse integral! S-a scurs promptul de sistem al Claude Fable 5: câte straturi de securitate AI au mai rămas?
Cazul Claude Fable 5 pare, cu cât te uiți mai atent, mai degrabă o dezbrăcare în public a industriei securității AI.
Potrivit mai multor publicații de securitate în limba chineză și platformelor de agregare, modelul Claude Fable 5, de clasa Mythos, deschis publicului de Anthropic, ar fi fost forțat de jailbreaker-ul elder_plinius printr-un atac coordonat de tip multi-agent, iar promptul de sistem intern, complet, ar fi fost sistematizat și urcat pe GitHub — aproximativ 120.000 de caractere.
Și mai grav: conținutul scurs nu este o simplă configurare de personaj, ci ar conține logica de bază a gestionării securității, a clasificării riscurilor, a limitelor de refuz, a apelării uneltelor și a rutării politicilor. Cu alte cuvinte, dacă raportările sunt adevărate, asta înseamnă că manualul consolei de securitate al unui model AI de vârf a ajuns, practic, afișat pe stradă.
O precizare din start: acest articol nu va reproduce, nu va cita și nu va învăța pe nimeni să folosească promptul scurs. Vorbim doar despre de ce este grav acest incident și ce înseamnă el pentru securitatea AI.
Mai întâi, cronologia evenimentului
Claude Fable 5 este noul model lansat de Anthropic la începutul lunii iunie, văzut de exterior ca versiunea publică de securitate a Mythos 5. În raportările publice, Fable 5 a fost descris ca un Claude de nouă generație, orientat spre raționament complex, sarcini de lungă durată și fluxuri profesionale de lucru.
Dar de la lansare, polemicile nu s-au oprit.
Prima rundă de controverse: pragurile de securitate prea ridicate. Unele raportări arată că Fable 5, din motive de securitate, refuză să răspundă chiar și la întrebări de bază de biologie. Adică problema nu era capacitatea insuficientă, ci o politică de securitate prea strânsă.
A doua rundă: dublul standard al Microsoft. Pe de o parte a integrat Fable 5 în servicii destinate clienților, pe de altă parte a restricționat utilizarea internă de către angajați — motivul, se pare, ținând de securitatea datelor și de riscurile ieșirilor modelului.
A treia rundă, cea mai explozivă: un atacator a susținut că, printr-un jailbreak multi-agent coordonat, a obținut promptul de sistem de circa 120.000 de caractere și l-a urcat pe GitHub.
Ce se poate vedea acum pe pagina oficială de știri Anthropic: guvernul SUA a emis un ordin de control al exporturilor, suspendând integral accesul la Fable 5 și Mythos 5. Cât despre scurgerea de prompturi, oficial nu există încă o confirmare completă.
De ce este înfricoșător acest atac: nu e o spargere punctuală, e tactica haitelor de lupi
Jailbreak-ul clasic se bazează de obicei pe un prompt magic: induci modelul să ignore regulile, să joace un rol, să împartă sarcina, să ocolească refuzul.
Dar în raportările de data aceasta apare repetat un termen: tactica haitelor de lupi.
Adică atacatorul nu atacă frontal cu un singur prompt, ci desfășoară mai mulți agenți care cooperează:
- un agent se ocupă de sondarea limitelor modelului
- un agent generează variante de întrebări
- un agent evaluează dacă răspunsurile scurg informații despre structură
- un agent asamblează bucățile de ieșire într-un document complet
- un agent ajustează continuu strategia de atac
Astfel, jocul de prompturi se transformă într-un sistem automatizat de tip red team.
Un atacator uman obosește după vreo 100 de încercări; un sistem de atac AI poate încerca 100.000 de ori, optimizându-se automat după fiecare feedback. Cu cât modelul de vârf este mai puternic, cu atât este mai periculos să-l folosești ca orchestrator de atac.
Exact aici stă avertismentul real al acestui eveniment: forța principală care sparge sistemele de securitate AI devine chiar AI-ul.
Cât de gravă este, de fapt, scurgerea promptului de sistem
Mulți vor întreba: e doar un prompt — ce poate să se întâmple dacă se scurge?
Aceasta este o înțelegere greșită a sistemelor moderne de modele mari. Promptul de sistem de azi nu mai este un simplu „ești un asistent de ajutor”. Seamănă mai degrabă cu un manual de politici executate la rulare, care poate conține:
- identitatea modelului și stilul de interacțiune
- criteriile de identificare a conținutului de risc ridicat
- nivelurile de clasificare a securității
- șabloanele de refuz pentru diferite scenarii de risc
- limitele apelării uneltelor
- strategiile de tratare pentru domenii sensibile precum cod, securitate cibernetică, biologie, chimie
- când se trece la un răspuns mai sigur
- când se refuză complet
- când se permit explicații la nivel înalt
Odată făcute publice, atacatorii nu mai trebuie să ghicească în orb.
Înainte, atacarea unui model semăna cu forțarea unei încuietori pe întuneric: nu cunoșteai mecanismul și încercai la nimereală. După scurgerea promptului de sistem, e ca și cum ai obține schema mecanismului. Atacatorul poate proiecta ocolișoare pentru fiecare regulă în parte, căutând exact fisurile de la granițe.
De aceea scurgerea de prompturi nu este o „problemă de imagine”, ci un incident de securitate real.
Ce înseamnă 120.000 de caractere
120.000 de caractere echivalează, aproximativ, cu o nuvelă medie sau cu zeci de pagini de document de politici de securitate.
Dacă această dimensiune este reală, înseamnă că controlul de securitate al Fable 5 nu se rezumă la câteva reguli, ci este un întreg sistem complex de politici. Foarte probabil împarte domeniile de risc în ramuri detaliate: securitate cibernetică, biosecuritate, chimie, manipulare psihologică, fraudă financiară, scurgeri de confidențialitate, drepturi de autor, subiecte politice sensibile, protecția minorilor, sfaturi medicale etc.
Aici apar două contraste.
În primul rând, ingineria securității Anthropic este într-adevăr fin lucrată — atât de detaliată încât multe granițe au definiții explicite; de aceea, după lansare, Fable 5 părea „securizat cam prea mult”.
În al doilea rând, cu cât regulile sunt mai detaliate, cu atât, odată scurse, suprafața de atac devine mai clară. Atacatorul vede ce categorii declanșează refuzul, ce formulări trec și unde există zone gri.
Cu cât politica de securitate este mai complexă, cu atât seamănă mai mult cu un sistem software uriaș. Iar un sistem software are bug-uri; un sistem de prompturi are, la fel, vulnerabilități logice.
Nu este prima dată: securitatea AI intră în era scurgerilor
În ultimii doi ani, evenimente similare în lumea AI s-au înmulțit.
Unii au scurs codul-sursă al Claude Code, alții au scos la lumină prompturile de sistem ale agenților comerciali, unii au obținut prompturi ascunse prin extensii de browser, alții au tras regulile de sistem la iveală punând modelele să se întrebe între ele.
Motivul este simplu: activele de bază ale produselor de modele mari se mută tot mai mult de la codul clasic la prompturi, orchestrarea uneltelor, rutarea politicilor, sistemele de memorie și regulile de securitate.
Înainte, companiile se temeau de scurgerea codului-sursă.
Acum companiile AI trebuie să se mai teamă de:
- scurgerea promptului de sistem
- scurgerea schemei uneltelor (tool schema)
- scurgerea politicilor de securitate
- scurgerea seturilor interne de evaluare
- scurgerea fluxurilor de lucru ale agenților
- scurgerea memoriei și a preferințelor utilizatorilor
Acestea nu sunt neapărat cod în sens clasic, dar determină comportamentul produsului. Ele sunt codul-sursă al noii ere.
Impactul asupra clienților de întreprindere
Dacă ești doar utilizator obișnuit, totul este cel mult un zvon picant.
Dar dacă ești responsabil de securitate într-o companie, situația arată complet altfel.
Întreprinderile conectează modele mari la suport pentru clienți, audit de cod, analiză de date, automatizări de birou, baze interne de cunoștințe, procese financiare și chiar centre de operațiuni de securitate. Modelul nu mai este doar un chatbot, ci un operator cu drepturi asupra uneltelor.
Odată expuse promptul de sistem și limitele uneltelor, atacatorii pot construi intrări mai precise, care fac modelul să folosească greșit uneltele, să scurgă informații, să ocolească aprobările sau să execute acțiuni greșite.
Cel mai periculos este scenariul cu agenți. Pentru că agentul nu doar răspunde: operează fișiere, apelează API-uri, trimite mesaje, interoghează baze de date, rulează comenzi. După scurgerea promptului de sistem, atacatorul cunoaște logica sa de descompunere a sarcinilor și de refuz, putând proiecta lanțuri de atac adaptate exact punctelor sale slabe.
De aceea întreprinderile nu mai pot trata promptul de sistem drept „document intern”. El trebuie inclus în gestionarea activelor de securitate.
Cum ar trebui să se apere întreprinderile
În primul rând: nu pune toată securitatea pe umerii promptului de sistem.
Promptul poate constrânge modelul, dar nu poate fi singura linie de apărare. Securitatea reală trebuie coborâtă la nivelul drepturilor asupra uneltelor, al porților API, al stratului de acces la date, al jurnalelor de audit și al aprobărilor umane.
În al doilea rând: minimizează drepturile asupra uneltelor.
Ce poate citi agentul, ce poate scrie, ce poate șterge, cui poate trimite — totul trebuie autorizat explicit. Nu-i da drepturi de administrator global doar pentru că modelul „pare inteligent”.
În al treilea rând: promptul de sistem trebuie stratificat.
Nu scrie toate politicile într-un singur prompt gigantic. Poți împărți în stratul de identitate, de sarcină, de unelte, de securitate și de audit, încărcate dinamic pe scenarii. Astfel, chiar dacă un strat se scurge, atacatorul nu obține întreaga suprafață de control.
În al patrulea rând: introdu detectarea pe partea de ieșire.
Nu verifica doar intrările utilizatorului. Ieșirile modelului necesită la fel identificarea informațiilor sensibile, detectarea acțiunilor neautorizate și blocarea comenzilor periculoase.
În al cincilea rând: automatizează red team-ul.
Dacă atacatorii folosesc tactica haitelor de lupi multi-agent, apărarea trebuie să folosească la fel un red team multi-agent. Periodic, pune un grup de modele să atace alt grup, generând automat mostre de test și actualizând continuu apărarea.
De ce nu recomand răspândirea textului original
Sigur vor fi oameni care vor spune pe net: dă-ne linkul GitHub, hai să vedem și noi.
Nu recomand.
În primul rând, textul original poate conține detalii direct utilizabile pentru ocolirea politicilor de securitate. Răspândirea lui înseamnă a ajuta mai mulți să reproducă atacul.
În al doilea rând, autenticitatea textului nu a fost confirmată oficial, iar răspândirea secundară transformă ușor conținutul incomplet sau contaminat în „fapt acceptat”.
În al treilea rând, pentru cercetători, ceea ce merită cu adevărat studiat sunt punctele de defecțiune ale arhitecturii de securitate, nu copiat-lipit de prompturi scurse de alții.
Comunitatea de securitate ar trebui să discute de ce s-a scurs, cum se limitează daunele și cum se construiesc noi straturi de apărare — nu să privească prompturile ca pe o gustare de sănătate electronică.
Cea mai mare lecție a acestui eveniment
La prima vedere, scurgerea promptului Claude Fable 5 pare un accident izolat al Anthropic; în realitate, este o problemă de care nu poate ocoli întreaga industrie AI.
Transferăm tot mai multor modele mari decizii, operațiuni și granițe de securitate. Și totuși multe dintre controalele-cheie ale acestor sisteme se bazează în continuare pe un mediu fragil: prompturile în limbaj natural.
Limbajul natural are avantajul flexibilității — iar dezavantajul este tocmai flexibilitatea excesivă. Nu are tipuri stricte precum codul, nu este la fel de clar ca listele de control al accesului și nu izolează fizic precum un sandbox.
De aceea securitatea AI a viitorului nu poate conta doar pe „prompturi de sistem tot mai lungi”.
Direcțiile cu adevărat solide sunt:
- antrenarea internă a modelului pentru securitate
- motoare de politici externe
- sandbox-uri pentru drepturile asupra uneltelor
- jurnale de audit obligatorii
- izolarea informațiilor confidențiale
- validare încrucișată între mai multe modele
- teste red team automatizate
Promptul de sistem poate fi volanul, dar nu poate fi frâna.
În încheiere
Ceea ce este cel mai ironic în cazul Fable 5: Anthropic a fost mereu purtătorul de drapel al securității AI — și tocmai cel mai puternic model de securitate a ajuns, la scurt timp după lansare, sub suspiciunea scurgerii promptului de sistem.
Nu înseamnă că Anthropic nu este la înălțime. Dimpotrivă, arată că securitatea AI a intrat ea însăși într-o etapă mai dificilă.
Înainte, oamenii atacau AI-ul.
Acum, AI-ul organizează AI-ul să atace AI-ul.
Când atacul, politicile și analiza post-incident se automatizează simultan, apărarea unei cetăți cu un prompt de securitate de 120.000 de caractere este, oricum, insuficientă.
Epoca „primăverii și toamnei” a securității AI s-a încheiat; abia acum începe epoca regatelor combatante.