Cathedral'ın hazırladığı taslak rapora göre araştırmacılar, Anthropic'in sistemlerine doğrudan sızmaya çalıştıkları birkaç günün ardından şirketin kullandığı üçüncü taraf iş yazılımlarındaki güvenlik açıklarına yöneldi. (Bu yazılımlar, şirketlerin satış süreçlerini yönetmek, çalışan bilgilerini saklamak ve idari işleri yürütmek için kullandığı araçlardan oluşuyor.) Araştırmacılar, bu yazılımlardaki açıkları kullanarak Anthropic'in iç sistemlerine uzanan erişim yolları buldu. Bu süreçte yapay zekâ ajanlarından faydalandılar ve rapora göre 12 saatten kısa bir süre içinde hassas verilere ulaşabilecekleri yolları tespit ettiler.
Cathedral'ın araştırmacılarının tespit ettiği erişim yolları arasında toplantı kayıtları, çalışanların maaş bilgileri ve iş tekliflerine ilişkin ayrıntılar ile Anthropic'in gelişmiş yapay zekâ modellerini tartışan Slack mesajları bulunuyordu. Şirketin raporunda, erişilen verilerin mümkün olduğunca sınırlı tutulduğu ifade edildi. Anthropic ise Cathedral'in erişebildiği sistemlerin iddia edilenden daha sınırlı olduğunu savunuyor. Şirketin açıklamasına göre araştırmacılar satış, insan kaynakları ve bilgi teknolojileri sistemlerinin yalnızca sınırlı bir bölümüne erişti.
Anthropic, araştırmacıların özellikle Claude kullanıcılarının sohbetlerine, modele gönderilen mesajlara veya modelin verdiği yanıtlara erişemediğine dikkat çekiyor. Şirketin kaynak kodu ve modellerin eğitilmiş parametrelerini içeren model ağırlıkları da erişim sağlanan veriler arasında bulunmuyor.
Cathedral'in bu konuda herhangi bir yaptırımla karşılaşması beklenmiyor. Zira kendileri, Anthropic'in dışarıdan güvenlik araştırmacılarını sistemlerini test etmeye davet ettiği bir program kapsamında çalışıyordu. Bu tür programlar, genellikle bug bounty olarak biliniyor. Şirketler, araştırmacıların sistemlerindeki güvenlik açıklarını kontrollü biçimde bulup kendilerine bildirmelerini teşvik ediyor. Bazı programlarda bildirilen açıkların önemine göre ödül de veriliyor. Amaç, kötü niyetli kişiler aynı açıkları kullanmadan önce bunları tespit edip kapatmak.
Ancak Anthropic, Cathedral'ın programın kurallarına bütünüyle uymadığını ve sistemlerindeki faaliyetlerinin tamamını bildirmediğini öne sürüyor. Şirket ayrıca girişimin olayın ulusal güvenlik açısından taşıdığı anlamı abarttığını savunuyor.
Cathedral'ın bulguları, yapay zeka şirketlerinin güvenliği konusunda ABD yönetiminde de endişelere yol açtı. The Washington Post'a konuşan ve kimliğinin açıklanmamasını isteyen üst düzey bir Trump yönetimi yetkilisi, raporun hükümet içinde dolaşıma girdiğini ve ulusal güvenlik açısından kaygı yarattığını söyledi. Yetkili, yeni kurulmuş küçük bir girişimin bu kadar kısa sürede hassas sistemlere erişim yolları bulabilmesinin, benzer yöntemlerin yabancı istihbarat servisleri tarafından da kullanılabileceğine işaret ettiğini savundu.