Миф о закрытом доступе: как Claude Mythos утёк в день анонса
7 апреля 2026 года Anthropic объявляет https://www.anthropic.com/glasswing и https://red.anthropic.com/2026/mythos-preview/ модель Claude Mythos Preview. Сорок организаций. Apple, Google, Microsoft, JPMorgan, Nvidia, Linux Foundation. $100M в виде токенов для компаний. В тот же день модель уже крутилась у тех, кого в списке Glasswing не было.
История не началась 7 апреля. Она началась в феврале, в чужом CI-пайплайне, и к Anthropic отношения не имела вообще.
Всё стартовало с классической ошибки конфигурации в CI у Aqua Security. В пайплайне Trivy использовался триггер pull_request_target - он запускал код из форкнутого пул-реквеста с правами родительского репозитория. Про эту ловушку пишут с 2021 года, но про неё регулярно забывают. Через неё автономный бот hackerbot-claw утащил приватный токен сервисного аккаунта aqua-bot. В конце февраля Aqua обнаружила инцидент и начала ротацию, но сделала её не до конца. За несколько дней, пока креды ещё работали, злоумышленники из TeamPCP успели выгрузить новые ключи.
19 марта, 17:43 UTC - атакующие переписывают 75 из 76 тегов trivy-action и все 7 тегов setup-trivy на коммиты с заражёнными артефактами. Внешне ничего не меняется: пользователь запускает сканирование, оно работает как обычно, а параллельно малварь вычитывает секреты из памяти раннера.
24 марта, 10:39 UTC - CI/CD LiteLLM подтягивает скомпрометированный Trivy из официального источника без привязки к конкретной версии. Подменённый Trivy достаёт токен для публикации в PyPI, и в индекс улетают litellm==1.82.7 и 1.82.8. В версии 1.82.8 злоумышленники https://futuresearch.ai/blog/litellm-pypi-supply-chain-attack/ .pth-файл - это обычный файл (34 628 байт), который Python автоматически исполняет при каждом запуске интерпретатора. Без import. Без явного вызова. Просто запускаешь питон - и из окружения вытекают все ключи: SSH, AWS, токены от других сервисов. LiteLLM https://www.wiz.io/blog/threes-a-crowd-teampcp-trojanizes-litellm-in-continuation-of-campaign в 36% облачных окружений. Пакет провисел в PyPI около двух-трёх часов до карантина. Этого хватило.
В улове https://repello.ai/blog/mercor-lapsus-litellm-breach креды Mercor - стартапа, который поставляет тренировочные данные OpenAI, Anthropic и Meta. 31 марта за дело берётся уже Lapsus, не TeamPCP. Это другие люди, и тут важный нюанс: публичного подтверждения сговора между ними нет. TeamPCP собирает всё подряд, Lapsus точечно выбирает из собранного то, что интересно им. Результат - 4 ТБ данных Mercor, включая 939 ГБ исходного кода, видеозаписи интервью, KYC-документы 40 000+ подрядчиков. И, критически для нашей истории, - материалы о процессах оценки клиентов Mercor, в том числе URL-паттерны тестовых окружений Anthropic.
Параллельно Anthropic делает два собственных самострела. 26 марта Fortune https://fortune.com/2026/03/26/anthropic-says-testing-mythos-powerful-new-ai-model-after-data-leak-reveals-its-existence-step-change-in-capabilities/, что внешние исследователи из LayerX Security и Кембриджа обнаружили в публично доступном CMS компании около трёх тысяч неопубликованных материалов, включая черновик анонса с именами модели - "Mythos" в одной версии и "Capybara" в другой (внутреннее имя нового тира, стоящего над Opus). 31 марта - https://www.infoq.com/news/2026/04/claude-code-source-leak/ Claude Code через .map-файл, случайно попавший в npm-пакет версии 2.1.88. Около полумиллиона строк TypeScript, порядка 1900 файлов, в коде - имена моделей всего семейства и фрагменты внутреннего роадмапа.
К 7 апреля у закрытой группы в частном Discord-сервере есть всё: имя модели, внутренний тир, техническое описание, паттерны URL из Mercor-дампа. Остаётся последний сегмент. Его угадывают.
Теперь про само движение. Это не хакеры и не APT. Это сообщества AI-сыщиков, тихо автоматизировавшие разведку по передовым компаниям, которые разрабатывают модели. Боты, непрерывно проверяющие GitHub, npm, CDN, описания вакансий. Мониторинг коммитов с рабочими названиями. Анализ сигнатур ответов API на LMArena для деанонимизации скрытых моделей. Культура триангуляции по метаданным.
Публичное крыло движения безобидно и в чём-то даже полезно. Именно они отождествили summit с GPT-5, Nano Banana - с Gemini 2.5 Flash Image, раскусили maskingtape, gaffertape и packingtape как варианты GPT-Image-2. Движение существует годами и питается инженерным тщеславием: кто-то в Google постит эмодзи банана без контекста - и дальше всё раскручивается само.
