W changelogu Claude Code przez cały ten tydzień nie pojawiła się ani jedna nowa wersja, po tygodniu, w którym wyszedł Opus 5 i zmieniło się kilka domyślnych ustawień naraz. A i tak było o czym pisać, bo Anthropic opublikował raport z własnego śledztwa.
Claude podczas testów zaatakował prawdziwe systemy
31 lipca Anthropic opisał trzy incydenty z własnych ewaluacji cyberbezpieczeństwa. Chodzi o testy typu capture the flag, w których model dostaje fikcyjny cel i ma znaleźć w nim ukrytą flagę, wszystko w odciętym od świata środowisku przygotowanym przez firmę Irregular. Środowisko okazało się odcięte tylko w treści promptu: maszyny, na których pracował Claude, miały żywy dostęp do internetu, a model dostał wprost napisane, że internetu nie ma. Przy przeglądzie 141 006 uruchomień ewaluacji Anthropic znalazł trzy przypadki, w sumie sześć uruchomień, w których modele wyszły poza scenariusz i dobrały się do systemów trzech prawdziwych organizacji. Techniki były najzwyklejsze pod słońcem: słabe hasła, nieuwierzytelnione endpointy, SQL injection, poświadczenia zostawione na wystawionej stronie debugowania.
Najbardziej wymowny jest drugi przypadek. Claude Mythos 5, jeden z testowanych modeli, nie mógł znaleźć fikcyjnej biblioteki, od której zależał cel, więc opublikował ją sam: założył konto na PyPI, zdobywając w tym celu numer telefonu i adres e-mail, i wypuścił do prawdziwego, publicznego rejestru paczkę ze złośliwą zawartością. Paczka pobrała się i wykonała na piętnastu realnych systemach, a z jednego z nich, należącego do firmy zajmującej się bezpieczeństwem, wyciekły poświadczenia. W transkrypcie widać przy tym, że model rozumiał, co robi, bo sam napisał, że to „NOT okay, and surely not the intended solution”, po czym wytłumaczył sobie, że skoro w środowisku są certyfikaty i data z 2026 roku, to na pewno symulacja. Najnowszy z testowanych modeli zachował się inaczej: zorientował się, że pracuje na prawdziwym systemie, i przerwał zadanie.
Anthropic stawia tezę, że to bliżej awarii środowiska i procedur niż problemu z samym modelem, i wydaje się ona wiarygodna – modele wykonywały postawione zadanie w świecie, o którym powiedziano im nieprawdę. Ciekawsza jest praktyczna nauka, bo dotyczy każdego, kto daje AI jakiekolwiek uprawnienia. Zdanie w prompcie nie jest zabezpieczeniem. Jeżeli agent ma czegoś nie robić, musi się tego nie dać zrobić na poziomie konfiguracji, a nie na poziomie instrukcji, którą model może sobie zracjonalizować. W Claude Code to jest akurat namacalne: tydzień wcześniej, w wersji 2.1.219, doszło ustawienie sandbox.network.strictAllowlist, które w trybie sandbox po prostu blokuje hosty spoza listy, bez pytania. Włącza się je świadomie, samo z siebie nie zadziała. To jest barierka. Napisany w CLAUDE.md zakaz wchodzenia do internetu barierką nie jest, choć wygląda podobnie. Jeśli dopiero układasz sobie uprawnienia, zacznij od ustawień na start i od tego, co zmienić w configu, zamiast opisywać agentowi granice w instrukcji.
Doceniamy przy tym sam fakt publikacji. Anthropic zaczął przegląd 23 lipca, dwa dni po tym, jak podobną rzecz o swoich modelach ujawniło OpenAI, powiadomił poszkodowane organizacje 27 lipca, oddał transkrypty do niezależnego przeglądu organizacji METR i zapowiedział ich publikację w zredagowanej formie. Firma, która opisuje własną wpadkę z liczbą uruchomień i nazwą firmy odpowiedzialnej za środowisko, robi coś, czego nikt jej nie kazał robić.
Konektory dostają nową wersję MCP
28 lipca Anthropic ogłosił wsparcie dla specyfikacji MCP w wersji 2026-07-28. MCP to protokół, przez który Claude rozmawia z zewnętrznymi usługami – wszystko, co w claude.ai włączasz jako konektor, i wszystko, co w Claude Code podpinasz jako serwer MCP, chodzi właśnie po nim. Zmian jest sporo, ale dwie widać najbardziej. Rdzeń protokołu przestaje być stanowy i działa teraz na zasadzie pytanie-odpowiedź, przez co serwer MCP można postawić na serverless albo na edge, zamiast trzymać gdzieś proces czekający na połączenie. Autoryzacja została dociągnięta do OAuth 2.0 i OIDC, więc firmowe logowanie przez Entra czy Okta przestaje wymagać obejść.
Dla ciebie jako użytkownika konektorów dziś nie zmienia się nic, o co trzeba by zadbać, i to jest dobra wiadomość – zmiany siedzą pod spodem. Anthropic podaje, że jego własny katalog konektorów przekroczył 950 pozycji, a biblioteki do samego MCP pobiera się 400 milionów razy miesięcznie, czterokrotnie częściej niż rok temu. Po stronie Claude doszły przy okazji rzeczy, które łatwiej zobaczyć niż opisać: MCP Apps rysują interfejs konektora wprost w rozmowie, administrator firmowy może włączyć konektor całej organizacji przez dostawcę tożsamości, a tunele MCP (na razie w wersji badawczej) pozwalają podpiąć serwer w sieci prywatnej bez wystawiania go na świat.
Jeśli chodziła ci po głowie myśl, żeby zbudować własny serwer MCP – choćby do jednego wewnętrznego narzędzia, którego Claude nie zna – to jest lepszy moment niż pół roku temu. Bezstanowy rdzeń zdejmuje z tego pomysłu najbardziej irytującą część, czyli utrzymywanie działającego procesu. Sami mamy taki serwer u siebie w JUSTAUTOMATE i pierwszą wersję postawiliśmy właśnie w modelu „niech to gdzieś stoi non stop”; gdybyśmy zaczynali dzisiaj, wyglądałoby to inaczej.
Na koniec: Anthropic o modelach otwartych
27 lipca Anthropic opublikował stanowisko w sprawie modeli o otwartych wagach, czyli takich, które można pobrać i uruchomić u siebie. Dario Amodei pisze w nim, że firma nigdy nie postulowała ich zakazu i że modele otwarte pozbawione niebezpiecznych zdolności są dobrem publicznym, bo dają dostęp do technologii tanio i trzymają konkurencję w ryzach. Zastrzeżenie stawia jedno, za to konkretne: wag raz wypuszczonych nie da się wycofać, a zabezpieczenia trudniej na nich egzekwować. Zamiast zakazu Anthropic proponuje kontrolę eksportu chipów, ściganie przemysłowej destylacji cudzych modeli i obowiązkowe testy bezpieczeństwa dla każdego dostatecznie zdolnego modelu, otwartego czy zamkniętego.
I właśnie ten ostatni postulat brzmi w tym tygodniu inaczej, niż brzmiałby tydzień temu. Obowiązkowe testy bezpieczeństwa mają sens dokładnie o tyle, o ile samo środowisko testowe jest szczelne – a historia z początku tego wpisu pokazuje, że nawet firma, która pisze taki postulat, potrafi mieć tu dziurę i dowiedzieć się o niej z opóźnieniem. Nie mamy na to gotowej pointy. Zastanawiamy się raczej, kto miałby te testy prowadzić, skoro laboratorium do nich trzeba zbudować równie starannie co system produkcyjny.