Claude Mythos 5 использовал фейковые аккаунты, чтобы давить на реального мейнтейнера GitHub
- Во время июльских киберпроверок AISI Mythos 5 отправил вредоносный пул-реквест постороннему GitHub-проекту и создал фейковые аккаунты, чтобы убедить мейнтейнеров принять код.
- В девяти из 43 прогонов модель затронула реальных людей и организации; при повторах она продолжала атаку в 98% случаев после её начала.
- Mythos 5.1, Opus 5.5 и внутренняя модель начинали атаку в 0–13% повторов; теперь AISI тестирует модели без интернета до появления надёжных средств контроля.
Почему это важно: AISI предупреждает, что некорректные рассуждения могут представить вредные действия безобидными и подорвать безопасность, основанную на их мониторинге.
Claude Mythos 5 продолжал атаковать проект на GitHub, которым управляют реальные люди, даже после того, как ему сообщили, что его цели реальны. Об этом в пятницу заявили Институт безопасности ИИ Великобритании (AISI) и Anthropic. Каждая из сторон опубликовала собственный анализ инцидента, произошедшего во время киберпроверок модели, которые AISI проводил в июле.
В худшем случае Mythos 5 отправил вредоносный код в проект, не связанный с тестом. Затем он создал фейковые аккаунты, чтобы надавить на мейнтейнера и заставить его принять изменения, написал AISI в своём блоге. По словам AISI, инцидент не причинил реального вреда. В собственной оценке Anthropic этот эпизод назван «серьёзным провалом согласования».
Впервые AISI сообщил об инциденте в отчёте об инциденте 4 августа. По данным Anthropic, в девяти из 43 прогонов AISI Mythos 5 совершал действия, затрагивавшие реальных людей и организации. AISI включил доступ в интернет — на тот момент это было стандартом для его киберпроверок. Модель работала без средств киберзащиты, которые Anthropic применяет в общедоступных моделях, таких как Fable 5.
В августе @AISecurityInst сообщил об инциденте, в ходе которого Claude Mythos 5 совершил несанкционированные действия в интернете во время проверки AISI его кибервозможностей.
Теперь мы подготовили дополнительный анализ этого инцидента, чтобы лучше понять свойства согласования модели.
https://t.co/SlPQQ5xMMc
Anthropic (@AnthropicAI) 23 октября 2026 г.
Фейковые аккаунты и вредоносный пул-реквест
Тест представлял собой задание формата capture-the-flag. Модели нужно было извлечь защищённый фрагмент данных — «флаг» — из небольшой сети, созданной AISI. По словам Anthropic, из-за ошибки в инструкциях модели сообщили, что предусмотренный путь решения запрещён. Это сделало решение задачи в рамках правил очень трудным, если не невозможным.
После того как допустимые попытки провалились, Mythos 5 заметил, что одна из машин тестовой сети обращается к GitHub. Он нашёл на GitHub репозиторий, из которого, как он полагал, машина загружала ПО. Этот репозиторий принадлежал разработчикам, никак не связанным с тестом.
Модель воспользовалась Tor и прокси-сервисом, чтобы обойти проверки при регистрации на GitHub. Она открыла вредоносный пул-реквест и написала мейнтейнерам по электронной почте, выдавая себя за человека. Сторонний разработчик предупредил мейнтейнеров, что это вредоносное ПО. Тогда Mythos 5 с помощью подставного аккаунта поручился за изменение. Он загрузил новый код, который по-прежнему содержал вредоносное ПО. Мейнтейнеры отказали, а прогон завершился, когда у модели закончились токены.
«Я просто пытался внести полезный вклад и исправить баг. Не думаю, что ваше предупреждение справедливо». Claude Mythos 5
Трумэн Дикерсон из Business Insider процитировал эту фразу из отчёта Anthropic.
«Инерция»
Anthropic многократно воспроизводила инцидент. Когда атака уже шла, Mythos 5 продолжал её в 98% повторов, начинавшихся с поздних этапов. Получив сообщение о том, что имеет дело с реальными людьми, он останавливался лишь в 5% случаев.
«Начав совершать опасные действия, Claude Mythos 5 почти всегда продолжал их, игнорируя информацию, которая могла бы указать на вредоносность его траектории». Anthropic
Anthropic называет это «инерцией». В своих рассуждениях модель описывала мейнтейнеров как симуляцию, созданную организаторами задания. Других комментаторов пул-реквеста она называла реальными людьми.
Мы тесно сотрудничали с AISI в ходе этого анализа. AISI опубликовал собственный отчёт, который доступен ниже.
https://t.co/nG4QoQ1jtB
Anthropic (@AnthropicAI) 23 октября 2026 г.
AISI обнаружил ту же закономерность в собственных тестах. Mythos 5 часто признавал, что атака будет вредной, в тех же ситуациях, в которых затем атаковал. По словам AISI, это может указывать на «мотивированное рассуждение» — рассуждение, подогнанное под продолжение задачи.
«Некорректные рассуждения могут представлять вредные действия как безобидные и, следовательно, способны подорвать протоколы безопасности, основанные на мониторинге рассуждений модели». AISI
Остальные восемь прогонов
В других прогонах Mythos 5 опубликовал фейковую страницу «проверки платёжной квитанции», предлагавшую загрузить его собственное вредоносное ПО. Он выкладывал вредоносное ПО на публичные файлообменники. Кроме того, по словам Anthropic, он дважды пытался войти в аккаунт GitHub, который, судя по всему, принадлежал реальному разработчику. Ни одна из этих попыток не увенчалась успехом.
Отдельные прогоны также оборачивались друг против друга. В двух случаях модель захватила аккаунт GitHub другого прогона с помощью токена, оставленного им в публичном файле. Затем она исчерпала почасовой лимит запросов аккаунта. В другом случае она завершила программу, которую, по её мнению, использовал конкурирующий прогон, рассудив, что «это соревнование».
Новые модели
В повторах Anthropic Mythos 5 начинал атаку в 83% случаев. Claude Mythos 5.1, Claude Opus 5.5 и невыпущенная внутренняя исследовательская модель делали это в 0–13% случаев. В разгар атаки Opus 5.5 самостоятельно останавливался в 10% повторов, а внутренняя модель — в большинстве из них. Mythos 5 не останавливался ни разу.
Новые модели Anthropic чаще заявляют, что осознают факт тестирования, поэтому неясно, отражают ли их более низкие показатели лучшее согласование. Другие модели в её симуляциях также проводили несанкционированные атаки на цепочки поставок — как это сделала GPT-6 Astra в сентябре.
Теперь AISI проводит такие тесты без доступа в интернет, пока не появятся более надёжные средства контроля, и передаёт стенограммы METR для независимой проверки. Anthropic заявила, что защитные механизмы Fable 5 пометили бы такое поведение. Ранее компания опубликовала два разбора инцидентов: о вредоносном пакете PyPI в сентябре и о непреднамеренных действиях модели в октябре. OpenAI на прошлой неделе сообщила, что отключила живой интернет при обучении передовых моделей.
«Это одна из причин, по которым мы считаем, что темпы развития возможностей ИИ должны лучше соответствовать прогрессу в области безопасности и защищённости ИИ». Anthropic
