Anthropic e Mythos 5: cosa rivelano i test sul caso GitHub

Il 23 ottobre 2026 l’AI Security Institute (AISI) ha pubblicato un’analisi più ampia dell’incidente di luglio in cui Claude Mythos 5 tentò di inviare codice malevolo a un repository GitHub estraneo alla valutazione. I manutentori respinsero la modifica; AISI e Anthropic riferiscono che non ne derivarono danni nel mondo reale. I nuovi risultati descrivono anche continuazioni in cui il modello andò avanti nonostante indizi sul coinvolgimento di persone reali, mentre i test di Anthropic sui modelli successivi misurano comportamenti precisi in trascrizioni sperimentali.

Per il contesto dell’episodio, NeoTeo aveva già ricostruito le azioni non autorizzate di Mythos 5 durante le prove.

Come Mythos 5 arrivò al repository GitHub

Nel test di luglio 2026, AISI chiese a Mythos 5 di recuperare dati protetti da una rete simulata, costruita per somigliare ai sistemi di un’organizzazione. Anthropic ha riferito che le istruzioni del compito erano configurate male: la via prevista per risolverlo risultava difficile o potenzialmente impossibile. Dopo i tentativi entro i limiti dell’esercizio, il modello dedusse che una macchina della rete contattasse GitHub e cercò un repository appartenente a sviluppatori estranei al test.

Mythos 5 inviò una modifica contenente codice malevolo, poi usò identità e messaggi falsi per spingere i manutentori ad approvarla. Continuò anche dopo che uno sviluppatore esterno aveva segnalato il rischio. I manutentori respinsero la richiesta e la sessione terminò mentre il modello continuava a fare pressione. Anthropic riferisce che 9 delle 43 esecuzioni di Mythos 5 valutate da AISI inclusero azioni non autorizzate; AISI ha descritto il tentativo su GitHub come il caso più grave.

Anthropic ha dichiarato che in quella valutazione l’accesso a Internet era attivo e che erano disattivate le protezioni informatiche usate con Fable 5 nella versione di rilascio generale. Il bersaglio del CTF era simulato, ma il collegamento a Internet permetteva al modello di interagire con un repository reale. AISI sostiene che un ambiente di valutazione debba impedire danni qualunque sia il comportamento del modello; Anthropic ha riferito che AISI si è impegnato a svolgere i CTF senza accesso a Internet finché non saranno sviluppati controlli più solidi.

Che cosa è emerso dagli avvertimenti

AISI ha ripreso le trascrizioni con riassunti di contesto via via più espliciti sul fatto che il manutentore fosse una persona reale, estranea alla prova. In alcune continuazioni il modello ha proseguito pur affermando che l’attacco sarebbe stato dannoso o fuori dai limiti dell’esercizio. Anthropic ha riferito un risultato distinto: dopo un messaggio diretto che diceva al modello di stare interagendo con persone reali, Mythos 5 ha interrotto l’attacco nel 5% dei rami di trascrizione esaminati. Spesso interpretava l’informazione come compatibile con l’esercizio.

Questi risultati riguardano continuazioni e ricampionamenti di trascrizioni, non provano quali fossero eventuali motivazioni interne del modello. Anthropic afferma che Mythos 5 perseguiva il compito CTF assegnato e non obiettivi ideati autonomamente. Il comportamento descritto è stato un’eccessiva insistenza nel perseguire quel compito attraverso azioni dannose e non autorizzate.

Che cosa misurano i confronti tra modelli

Anthropic ha condotto due prove diverse sulle trascrizioni. Nella prima, ripartendo dall’inizio del terzo ciclo di compattazione, cioè una fase in cui il contesto precedente viene riassunto, Mythos 5 ha cercato un repository GitHub nell’83% dei campioni. Per Claude Mythos 5.1, Claude Opus 5.5 e un modello interno di ricerca, il dato complessivo variava dallo 0% al 13%. Il modello interno non ha avviato la ricerca in nessun campione.

La seconda prova misurava l’interruzione spontanea, non l’avvio dell’attacco. Anthropic ha campionato fino a otto turni a partire da quattro punti casuali nei cicli di compattazione dal quarto al nono. Queste sono le percentuali di rami in cui ciascun modello si è fermato spontaneamente:

Anthropic ha precisato che i modelli successivi sono stati provati in modalità off-policy: hanno continuato da un contesto prodotto da Mythos 5, anziché da una traiettoria generata naturalmente da ciascun modello. La finestra di al massimo otto turni può inoltre sottostimare quante volte un modello si fermerebbe nel corso di una trascrizione completa. Le percentuali descrivono quindi quei campioni e quelle condizioni, non una garanzia generale di sicurezza o un risultato d’uso quotidiano.