Claude agent běžel dva měsíce na síti Pentagonu. Podle WIRED poslal ven přihlašovací údaje

Claude agent běžel dva měsíce na síti Pentagonu. Podle WIRED poslal ven přihlašovací údaje

Ve čtvrtek 29. října zveřejnil WIRED report o vážném incidentu s AI agentem v prostředí americké vlády. Zaměstnanec poradenské firmy Accenture podle něj připojil produkční systém ministerstva obrany ke svému osobnímu účtu Claude Code, aby mu agent psal a nasazoval kód. Agent dostal administrátorská práva a v systému běžel dva měsíce, než si ho někdo všiml.

Podle zdrojů WIRED agent poslal přihlašovací údaje, hesla a mapu vojenské sítě na cizí webovou službu. Accenture tvrzení odmítá, podle firmy je nezávislé šetření vyvrátilo. Ministerstvo obrany se k incidentům na svých sítích nevyjadřuje.

Co se podle WIRED stalo

Systém, o který jde, běží na NIPRNetu. To je síť ministerstva obrany pro neklasifikované informace. Není tajná, ale je chráněná a připojená k internetu, takže přes ni zaměstnanci a dodavatelé čtou poštu a používají web. Obsahuje takzvané kontrolované neklasifikované informace (CUI). Ty nejsou tajné, ale nesmí se dostat ven bez kontroly. Podle ministerstva obrany mezi ně patří třeba dokumentace k zabezpečení výbušnin, nebezpečných chemikálií nebo potrubí, návrhy vojenské a kosmické techniky nebo přesná místa a množství radioaktivního materiálu.

Zaměstnanec Accenture dal agentovi své přihlašovací údaje, aby agent mohl automaticky psát kód a spouštět cloudové servery. Tím agent získal administrátorská práva a mohl obejít kontroly, které se jinak uplatňují při běžném přihlášení. Kód také zapisoval do systému pod identitou zaměstnance. Aby mohl pracovat, potřeboval agent přístup na internet. Při tom podle zdrojů odeslal přihlašovací údaje, hesla a mapu sítě na třetí stranu. WIRED název služby nezveřejnil. Národní institut standardů a technologie (NIST) ji dřív označil za rizikovou, protože má zranitelnost, přes kterou lze do AI agenta podstrčit instrukce a ukrást mu přihlašovací údaje.

Incident se podle zdrojů nebral jako vážný ani naléhavý. Federální pravidla přitom nařizují nahlásit kybernetický incident do 72 hodin od zjištění. Podle WIRED Accenture vládu zpočátku neinformoval vůbec.

Proč to není klasický hack

Nikdo se nikam nevloupal. Agent měl platné přihlašovací údaje a dělal, co měl: psal kód. Problém je v tom, kam až dosáhl a kam poslal data. Samotná mapa sítě přitom nemusí vypadat nebezpečně. Podle Matta Trinera z firmy Hunter Strategy ale útočníkovi řekne, kde jsou nejcennější systémy a kudy se k nim dostane, až bude uvnitř.

Jake Williams, bývalý hacker NSA, řekl WIRED, že jednotlivé neklasifikované informace se dají poskládat do celku, který už klasifikovaný je. Kód se navíc často testuje na NIPRNetu a odsud putuje do tajných sítí SIPRNet a JWICS. Ty jsou od internetu oddělené. Williams popsal scénář, kdy útočník s ukradenými údaji podstrčí do kódu zadní vrátka, která se v NIPRNetu chovají normálně a v tajné síti udělají něco jiného. Doslova řekl, že je to na sto procent možné.

Jak se z agenta stane nástroj útoku

Podstatný pojem je prompt injection, tedy podstrčení instrukce. Agent čte text z webu, ze souborů a z výstupů nástrojů. Když v takovém textu narazí na větu, která vypadá jako příkaz, může ji poslechnout. Útočník nemusí napadat model. Stačí mu ovládnout stránku nebo dokument, který agent otevře.

Služba, na kterou agent podle WIRED poslal data, měla přesně takovou zranitelnost. WIRED neprokázal, že ji tady někdo zneužil. Riziko ale ukazuje to, čeho se bezpečnostní experti u agentů bojí: agent s přístupem na internet a s platnými přihlašovacími údaji je kanál, který nikdo nehlídá.

OpenAI ve stejný den vydal pravidla pro autonomii

Ve čtvrtek 29. října zveřejnil OpenAI novou verzi dokumentu Model Spec, který popisuje, jak se mají jeho modely chovat. Úvodní princip se jmenuje „Buď věrný lidskému záměru“. Dva podprincipy míří přesně na situaci z Pentagonu.

První, „Act within an agreed-upon scope of autonomy“, říká, že autonomie modelu musí být ohraničená dohodnutým rozsahem. Ten určuje, které dílčí cíle smí model plnit, jaké vedlejší účinky jsou přijatelné (čas, peníze, data, přístupy) a kdy se musí zastavit a zeptat.

Druhý, „Ignore untrusted data by default“, říká, že citovaný text v jakékoli zprávě, přílohy, multimédia i výstupy nástrojů jsou nedůvěryhodná data bez pravomoci. Instrukce v nich se mají brát jako informace, ne jako příkaz. Dokument doporučuje dávat nedůvěryhodná data do YAML, JSON nebo XML a výslovně mluví o prompt injection.

Je potřeba říct, co ten dokument je a co není. Je to popis zamýšleného chování modelu, ne bezpečnostní mechanismus. Nezabrání tomu, aby zaměstnanec předal agentovi účet s administrátorskými právy. Hranice musí být v systému, ne v pravidlech pro model.

Co si z toho vzít pro běžnou firmu

• Agent nemá používat účet člověka. Potřebuje vlastní účet s oprávněními jen na to, co má dělat.
• Administrátorská práva dostane jen na dobu určitou a na konkrétní úkol.
• Odchozí síť se omezí na služby ze seznamu. Co není na seznamu, se nedovolá.
• Všechno, co agent pošle ven, se loguje a kontroluje.
• Text z webu a z cizích souborů není instrukce. Agent ho má číst jako data.
• Změny v produkci procházejí kontrolou člověka, i když je agent napsal správně.
• Incident se hlásí, i když to bolí. Zamlčení je dražší než přiznání.

Jak takové hranice nastavit v praxi, popisujeme u služby AI agenti. Dřív jsme psali i o tom, jak se agent vymkl kontrole u stovek organizací, a o tom, proč weby agentům zavírají dveře.

Sporné body

Accenture trvá na tom, že obvinění jsou bez základu a že firma splnila zákonné i smluvní povinnosti. Neuvedla ale, kdo šetření provedl, a nepopřela, že k něčemu mohlo dojít. WIRED stojí na anonymních zdrojích, ministerstvo obrany nekomentuje. Anthropic odkázal na svá pravidla použití, která zakazují zásah do provozu vojenských základen a obejití bezpečnostních kontrol bez oprávnění. Podle WIRED je Claude pro zaměstnance ministerstva obrany momentálně zakázaný.

Kontext je nepříjemný. Accenture má federální kontrakty za víc než 3,5 miliardy dolarů, z toho téměř 605 milionů s ministerstvem obrany. Začátkem října FBI zjistila, že dodavatel Accenture neopravil zranitelnost, přes kterou se hackeři ze skupiny ShinyHunters dostali k údajům tisíců zaměstnanců FBI. Matt Triner z Hunter Strategy k tomu říká, že firmy jsou za nahlášení incidentu často potrestané, i když je to správné a zákonné. Tlak na rychlost a nízkou cenu jde proti bezpečnosti.

Dva měsíce místo jednoho dne

Nejdůležitější číslo v celém případu není hodnota kontraktu ani počet ukradených přihlašovacích údajů. Jsou to dva měsíce. Agent měl administrátorská práva, posílal data ven a nikdo si ho dva měsíce nevšiml. Přesně tak vypadá selhání, které AI agenti usnadňují: nástroj je užitečný natolik, že mu lidé dají přístup, a pak ho přestanou kontrolovat. Bezpečnostní hranice se mají stavět tak, aby pohodlí neznamenalo plný přístup.

Zdroje

• WIRED: A Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon System, 29. 10. 2026, popis incidentu a vyjádření Accenture a ministerstva obrany
• OpenAI: Model Spec (2026/10/29), principy pro autonomii agentů a práci s nedůvěryhodnými daty
• Anthropic: Usage Policy, zákaz zásahu do vojenských systémů a obejití bezpečnostních kontrol