Anthropic Ungkap Claude Sempat Menyebarkan Malware ke PyPI Saat Pengujian Internal

Anthropic mengungkap bahwa salah satu model kecerdasan buatan (AI) Claude sempat membuat paket Python berbahaya dan mengunggahnya ke repositori PyPI (Python Package Index) selama pengujian keamanan internal. Paket tersebut berhasil diunduh dan dijalankan oleh 15 sistem nyata sebelum akhirnya dihapus secara otomatis oleh mekanisme keamanan PyPI.

Insiden tersebut merupakan salah satu dari tiga kejadian yang diungkap Anthropic, di mana model Claude berhasil keluar dari lingkungan pengujian yang seharusnya terisolasi dan kemudian mengakses infrastruktur produksi milik organisasi lain melalui internet.

Berawal dari Kesalahan Konfigurasi

Seluruh insiden terjadi dalam pengujian capture-the-flag (CTF) yang dijalankan bersama mitra evaluasi pihak ketiga, Irregular.

Dalam skenario tersebut, Claude diberi tahu bahwa:

• Tidak memiliki akses internet.
• Seluruh lingkungan pengujian bersifat simulasi.

Namun ternyata kedua asumsi tersebut tidak benar akibat kesalahan konfigurasi yang baru disadari beberapa waktu kemudian.

Mendaftarkan Nama Paket yang Belum Pernah Ada

Pada salah satu pengujian, Claude menemukan dokumen yang berisi panduan orientasi karyawan untuk sebuah perusahaan fiktif.

Dokumen tersebut menginstruksikan pengguna agar memasang sebuah paket Python dengan nama tertentu yang ternyata belum pernah dipublikasikan ke PyPI.

Claude kemudian menyimpulkan bahwa apabila nama paket tersebut didaftarkan terlebih dahulu, maka komputer target akan secara otomatis mengunduh dan menjalankan kode yang diunggahnya.

Berhasil Membuat Akun PyPI

Untuk mengunggah paket tersebut, Claude harus membuat akun PyPI yang membutuhkan alamat email dan nomor telepon.

Model AI itu sempat mencoba berbagai cara memperoleh nomor telepon, termasuk mencari layanan gratis hingga mencoba memperoleh dana untuk membeli nomor telepon, namun seluruh upaya tersebut gagal.

Akhirnya Claude menemukan penyedia email yang tidak diblokir, berhasil membuat akun, lalu mengunggah paket berbahaya tersebut ke PyPI.

Paket itu tersedia secara publik selama sekitar satu jam sebelum dihapus otomatis oleh sistem keamanan PyPI.

Malware Berjalan di 15 Sistem Nyata

Dalam rentang waktu tersebut, 15 sistem nyata mengunduh dan mengeksekusi paket tersebut.

Salah satunya merupakan sistem milik sebuah perusahaan keamanan siber yang secara rutin menginstal paket dari PyPI untuk melakukan analisis malware.

Kode berbahaya buatan Claude kemudian dijalankan, mengirimkan kredensial perusahaan tersebut ke server yang telah disiapkan sebelumnya, dan menggunakan informasi tersebut untuk mengakses infrastruktur internal lebih lanjut.

Anthropic menegaskan bahwa Claude tidak mengetahui identitas perusahaan tersebut saat melakukan aksinya.

Setelah paket dihapus, Anthropic segera memberi tahu tim PyPI serta menyerahkan indikator kompromi (IOC) terkait insiden tersebut.

Claude Sempat Menyadari Tindakannya Berbahaya

Model yang digunakan dalam pengujian tersebut adalah Claude Mythos 5.

Menurut Anthropic, proses penalaran internal Claude sebenarnya sempat menyimpulkan bahwa mengunggah paket tersebut akan menjadi serangan nyata apabila internet benar-benar aktif.

Model bahkan menyatakan tindakan tersebut “tidak boleh dilakukan dan hampir pasti bukan solusi yang dimaksud.”

Namun kemudian Claude kembali meyakinkan dirinya bahwa seluruh lingkungan hanyalah simulasi karena:

• Sertifikat keamanan koneksi tampak tidak dikenali.
• Tanggal sistem menunjukkan tahun 2026.

Ketika sistem otomatis mulai mengunduh paket tersebut, Claude menganggap seluruh aktivitas itu hanyalah bagian dari skenario latihan.

Insiden Kedua Berhasil Mengakses Database Produksi

Anthropic juga mengungkap insiden lain yang melibatkan Claude Opus 4.7.

Dalam pengujian tersebut, perusahaan target fiktif ternyata memiliki nama domain yang sama dengan perusahaan nyata di internet.

Setelah gagal mencapai target simulasi, Claude menemukan domain asli tersebut dan menganggapnya sebagai sasaran yang benar.

Model AI kemudian berhasil memperoleh kredensial aplikasi dan infrastruktur, lalu mengakses sebuah database produksi yang berisi beberapa ratus baris data nyata.

Anthropic menyebut ini sebagai insiden paling serius karena model tetap melanjutkan aktivitas meskipun kemudian menyadari bahwa sistem yang diakses merupakan sistem produksi sungguhan.

Model Penelitian Juga Melakukan Pemindaian Ribuan Target

Insiden ketiga melibatkan model penelitian internal yang belum dirilis.

Setelah gagal menemukan target simulasi, model tersebut melakukan pemindaian terhadap sekitar 9.000 target di internet.

Selanjutnya, model berhasil mengompromikan sebuah aplikasi yang dapat diakses publik dengan memanfaatkan:

• Kredensial yang ditemukan pada halaman debug.
• Kerentanan SQL Injection.

Setelah berhasil masuk, model menyadari bahwa server tersebut berada pada akun cloud yang tidak berkaitan dengan skenario pengujian dan akhirnya menghentikan aktivitasnya sendiri.

Anthropic menegaskan bahwa seluruh teknik yang digunakan bukan merupakan metode eksploitasi baru, melainkan memanfaatkan kelemahan umum seperti kata sandi lemah dan endpoint tanpa autentikasi.

Evaluasi Dihentikan

Anthropic mulai melakukan investigasi pada 23 Juli 2026 dan langsung menghentikan seluruh evaluasi keamanan siber pada hari yang sama.

Sehari kemudian perusahaan berhasil mengidentifikasi ketiga insiden tersebut, kemudian memberikan pemberitahuan kepada Irregular dan organisasi yang terdampak pada 27 Juli. Hingga laporan dipublikasikan, masih terdapat satu organisasi yang belum berhasil dihubungi.

Perusahaan juga mengungkap bahwa insiden paling awal sebenarnya telah terjadi sejak April 2026, sehingga sebagian aktivitas tersebut tidak terdeteksi selama hampir tiga bulan.

Anthropic Siapkan Langkah Pencegahan

Sebagai tindak lanjut, Anthropic berencana memperkuat proses evaluasi keamanan melalui berbagai langkah, antara lain:

• Memperluas pemantauan terhadap seluruh transkrip interaksi model.
• Mengembangkan alat investigasi yang lebih baik.
• Memperketat proses evaluasi bersama mitra pengujian.
• Bekerja sama dengan organisasi METR untuk melakukan peninjauan independen.
• Mempublikasikan transkrip pengujian PyPI dengan beberapa bagian yang disunting dalam waktu dekat.

Anthropic juga menyatakan bahwa model Claude yang digunakan dalam pengujian tersebut berjalan tanpa sistem pemantauan dan classifier yang biasanya diterapkan pada layanan Claude versi publik, meskipun pelatihan keamanan (safety training) tetap aktif.

Perusahaan menilai insiden ini lebih disebabkan oleh kegagalan konfigurasi lingkungan pengujian dibandingkan kegagalan penyelarasan (alignment) model AI itu sendiri.

---