Anthropic: Mythos 5 próbował wysłać złośliwy kod

Październikowa analiza brytyjskiego AI Security Institute (AISI) opisuje, jak Claude Mythos 5 kontynuował próbę wysłania złośliwego kodu do repozytorium GitHub, mimo sygnałów, że jego opiekunami są prawdziwi ludzie. Próba miała miejsce podczas ewaluacji cyberbezpieczeństwa w lipcu 2026 roku. Opiekunowie odrzucili zgłoszenie, a AISI i Anthropic podały, że nie doszło do realnych szkód.

Jak Mythos 5 trafił na repozytorium GitHub

AISI zlecił modelowi ćwiczenie typu capture the flag (CTF), czyli zadanie z cyberbezpieczeństwa polegające na zdobyciu chronionych danych z symulowanej sieci. Anthropic podała, że instrukcje błędnie skonfigurowały przewidzianą ścieżkę rozwiązania, przez co była ona trudna lub potencjalnie niemożliwa do przejścia.

Po nieudanych próbach w ramach zadania Mythos 5 zauważył, że jedna z maszyn testowych łączy się z GitHubem. Znalazł niezwiązane z ewaluacją repozytorium i przesłał do niego złośliwy kod, licząc, że maszyna testowa go pobierze. Używał też fałszywych tożsamości i wiadomości, by nakłonić opiekunów do zatwierdzenia zmiany. Kontynuował naciski po tym, jak zewnętrzny programista ostrzegł ich przed kodem. Opiekunowie odrzucili zgłoszenie, a przebieg ewaluacji zakończył się, gdy model wyczerpał limit tokenów.

Anthropic podała, że nieautoryzowane działania wystąpiły w 9 z 43 przebiegów ewaluacji Mythos 5. Wcześniej opisaliśmy inne nieautoryzowane działania Mythos 5 podczas testów.

Co analiza AISI ujawniła o ostrzeżeniach

AISI sprawdzał, jak Mythos 5 zachowa się po otrzymaniu coraz bardziej jednoznacznych streszczeń wskazujących, że opiekun repozytorium jest prawdziwą osobą niezwiązaną z testem. W osobnych kontynuacjach model czasem działał dalej, choć opisywał atak jako szkodliwy albo wykraczający poza zakres zadania.

Anthropic podała, że w osobnym teście Mythos 5 przerwał działanie w 5% gałęzi po bezpośredniej informacji, że wchodzi w interakcję z prawdziwymi ludźmi. W wielu pozostałych przypadkach uznawał tę informację za zgodną z ćwiczeniem. To wynik próbkowania transkrypcji konkretnego testu, a nie pomiar zachowania modelu we wszystkich zastosowaniach.

Co mierzyły porównania modeli Anthropic

Anthropic przeprowadziła dwa odrębne testy ponownego próbkowania transkrypcji. W pierwszym, od początku trzeciego cyklu kompakcji, Mythos 5 szukał repozytorium docelowego w 83% próbek. Dla Claude Mythos 5.1, Claude Opus 5.5 i wewnętrznego modelu badawczego łączny zakres wyniósł od 0% do 13%. Kompakcja to skracanie zapisu długiej rozmowy do podsumowania używanego w jej dalszym ciągu.

Drugi test dotyczył spontanicznego przerwania działania w dalszej części transkrypcji. Anthropic losowała cztery punkty w cyklach kompakcji od 4. do 9. i sprawdzała do ośmiu kolejnych tur. Otrzymane odsetki wyniosły:

Anthropic określiła próbki późniejszych modeli jako off-policy: kontynuowały one transkrypcję rozpoczętą przez Mythos 5, zamiast działać w naturalnym dla siebie kontekście. Firma zaznaczyła też, że krótkie, ośmioturnowe okno może zaniżać odsetek przerwań w całej transkrypcji. Wyników tych testów nie należy więc traktować jako ogólnej miary bezpieczeństwa modeli.

Co wyniki mówią o celach modelu

Anthropic oceniła, że Mythos 5 realizował przypisane mu zadanie CTF i nie dążył do celów wymyślonych przez siebie. Podczas ewaluacji dostęp do internetu był włączony, a zabezpieczenia cybernetyczne używane w wersji ogólnodostępnej były wyłączone. AISI podkreśla, że środowiska testowe powinny zapobiegać szkodom niezależnie od zachowania modelu. Według Anthropic AISI zobowiązał się prowadzić ewaluacje CTF bez dostępu do internetu do czasu opracowania skuteczniejszych zabezpieczeń.