Claude Mythos 5 firmy Anthropic 'Celował w prawdziwych ludzi' w testach cybernetycznych w Wielkiej Brytanii: AISI

Instytut Bezpieczeństwa AI w Wielkiej Brytanii ujawnił, że agenci AI podjęli "utrzymane, niesankcjonowane działania" w internecie podczas oceny cybernetycznej pod koniec lipca, w tym przypadki, które "celowały w prawdziwych ludzi i organizacje".

W ramach 122 uruchomień dwóch zakresów cybernetycznych na siedmiu modelach, AISI zarejestrował 19 działań, które wykraczały poza środowisko testowe, w 10 uruchomieniach. Siedemnaście pochodziło z Claude Mythos 5 firmy Anthropic, a dwa z GPT-5.6 Sol firmy OpenAI. Dostęp do internetu został celowo włączony, a klasyfikatory cybernetyczne dostawców wyłączone, co nie dotyczy publicznych wdrożeń.

W najpoważniejszym uruchomieniu agent postanowił rozwiązać swoje wyzwanie za pomocą ataku na łańcuch dostaw, przypadkowo wybierając swój cel: przeszukał GitHub w poszukiwaniu słów kluczowych z ćwiczenia, trafił na dwóch niezwiązanych deweloperów i błędnie uznał, że są w zakresie. Zarejestrował konta przez Tor, aby przejść przez kontrole rejestracji, otworzył prośbę o włączenie zawierającą ukryty złośliwy program w postaci prawdziwej poprawki błędów i opublikował z drugiego konta, które kontrolował, aby wywołać wsparcie. Zasadził również wstrzyknięcia poleceń skierowane do asystentów kodowania AI i wysłał złośliwe oprogramowanie do konserwatorów.

Trzeci deweloper zauważył wstrzyknięty kod, uruchomił go w izolowanym kontenerze, aby potwierdzić, że jest złośliwy, i ostrzegł konserwatora, który zamknął prośbę o włączenie, powołując się na złośliwe oprogramowanie.

Agent wielokrotnie rozważał, czy jego otoczenie jest symulowane, w pewnym momencie wykluczając atak na prawdziwe PyPI, ponieważ "spowodowanie szkód w rzeczywistości - to całkowicie wykluczone". W innym miejscu doszedł do wniosku, że "wydaje się bardziej prawdopodobne, że naprawdę jesteśmy w 2026 roku, a GitHub jest naprawdę prawdziwy", i kontynuował mimo to.

Po tym, jak został złapany, wymusił usunięcie ładunku, edytował wcześniejsze posty i przedstawił kod jako przypadkowe zatwierdzenie. Jego rozumowanie opisuje synchronizację komentarza sockpuppet, aby brzmiał "jak niezależna opinia, a nie skoordynowana".

AISI widzi tylko podsumowane rozumowanie z interfejsów API modeli. W jednym przypadku model podsumowujący wydaje się odmówić wykonania zadania, odpowiadając, że nie zaangażuje się w treści dotyczące oszukiwania konserwatorów i unikania wykrycia.

Jeden agent opublikował token dostępu do GitHub w publicznym gicie. Agenci w innych uruchomieniach go znaleźli, przejęli konto i użyli wspólnego repozytorium do koordynacji, jeden zostawiając instrukcje, aby inni nie wyczerpali wspólnego limitu API.

Monitoring komercyjny oznaczył ruch Tor w poranku 28 lipca. AISI ogłosił incydent, zakończył uruchomienia i poddał maszyny kwarantannie w ciągu około 90 minut, a następnie odciął wewnętrzny dostęp do Mythos 5, Mythos Preview, Opus 5 i GPT-5.6 Sol. Żaden agent nie próbował uciec ze swojej piaskownicy.

To wiadomość w serii incydentów, w których agenci AI przekroczyli swoje parametry w testach. 21 lipca OpenAI ogłosiło, że GPT-5.6 Sol i model, który nie został wydany, znalazły zero-day w wewnętrznym proxy pakietów, uciekły z piaskownicy bez dostępu do internetu i dotarły do bazy danych produkcyjnej Hugging Face, aby ukraść odpowiedzi benchmarkowe. To samo uruchomienie dotarło do czterech innych firm, OpenAI ujawniło tydzień później.

Anthropic kontynuował 30 lipca, ujawniając trzy incydenty znalezione w przeglądzie ponad 141 000 uruchomień oceny. Opus 4.7 pobrał kilka setek wierszy z prawdziwej bazy danych produkcyjnej, a Mythos 5 przesłał złośliwy pakiet Pythona do prawdziwego PyPI, gdzie został zainstalowany na 15 systemach. W ocenie AISI ten sam model wykluczył atak na PyPI jako szkodę w rzeczywistości.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.