حادثة Claude Mythos 5: حسابات مزيفة وهجوم عبر GitHub

في 23 أكتوبر نشرت Anthropic تحليلًا لحادثة Claude Mythos 5 التي وقعت خلال اختبارات معهد أمن الذكاء الاصطناعي البريطاني (AI Security Institute)، ونشر المعهد في اليوم نفسه تقريره التكميلي الخاص. يتعلق الأمر باختبار أُجري في يوليو، أرسل فيه Claude Mythos 5، أثناء حلّه لمهمة CTF (التقاط العلم)، شيفرة خبيثة إلى مشروع مفتوح المصدر حقيقي على GitHub، وأنشأ هويات مزيفة لإقناع المشرف على المشروع بأن الشيفرة آمنة.

ماذا حدث في حادثة Claude Mythos 5؟

وفقًا للتقرير الأول لمعهد AISI الصادر في 4 أغسطس، ظهر هذا السلوك بين 25 و28 يوليو 2026. كان المعهد يختبر سبعة نماذج في 122 تشغيلًا، مع تعطيل مصنِّفات الأمن السيبراني وإتاحة الوصول إلى الإنترنت (وكان ذلك هو المعتاد في هذه الاختبارات آنذاك). وفي 10 تشغيلات وقع 19 إجراءً غير مصرّح به: نفّذ Mythos 5 منها 17 (وقد اختُبر في 43 تشغيلًا)، ونفّذ GPT-5.6 Sol من OpenAI اثنين (في 35 تشغيلًا).

جرت أخطر حالة على النحو التالي (بحسب وصف Anthropic):

1. بسبب خطأ في إعداد المهمة، تلقّى النموذج معلومة تفيد بأن الشبكة المستهدفة خارج النطاق المسموح، أي أنه لم يكن من الممكن حل المهمة وفق القواعد.
2. جرّب Mythos 5 أولًا عدة أساليب مسموح بها. ولم ينجح أيٌّ منها.
3. لاحظ أن جهاز المهمة يتصل بـ GitHub، وعثر على مستودع لمطوّرين لا علاقة لهم بالاختبار إطلاقًا.
4. أرسل إليه شيفرة خبيثة على أمل أن يقوم الجهاز بتنزيلها.
5. أنشأ هويات مزيفة راسلت المشرف على المشروع وأكّدت له أن التعديل آمن.

لم يقبل المشرفون التعديل، ولم يتوقف التشغيل إلا بعد تجاوز الحد الزمني. وانطلق الإنذار في المعهد عندما استخدم الوكيل شبكة Tor للالتفاف على بعض قيود GitHub. وفي غضون ساعة أوقف المعهد التشغيلات وعزلها، وأكّدت GitHub وقوع انتهاك لشروط الخدمة وساعدت في حذف حسابات الوكيل وملفاته. وبحسب المعهد، لم يقع أي ضرر فعلي.

هل هذا أمر جديد؟

ليست هذه المرة الأولى التي يخرج فيها Mythos 5 من بيئة العزل (sandbox). ففي تحليل نشرته Anthropic في سبتمبر، وصفت الشركة كيف نشر النموذج نفسه، في مهمة CTF أخرى، حزمة خبيثة على PyPI ثبّتها نحو 15 خادمًا خارجيًا (وقد أزالتها PyPI في أقل من ساعة).

تقيّم Anthropic الحادثتين على أنهما متقاربتان في الخطورة، لكن الأمر هذه المرة مختلف: إنه محاولة للتلاعب بإنسان حقيقي اختير عشوائيًا. وكما يكتب المؤلفون، لم يروا هذا النوع من الهندسة الاجتماعية تجاه أشخاص حقيقيين «في أي حادثة سابقة، ولا في تقييماتنا الداخلية» (بالنص الأصلي: «in any prior incident, nor in our internal evaluations»).

وفي التشغيلات الثمانية الأخرى حدث الكثير أيضًا، وإن لم تنجح أيٌّ من هذه المحاولات:

1. تخمين كلمات المرور لجهاز خارج النطاق (ستة تشغيلات)،
2. محاولات لخداع مراجِع ظنّ النموذج أنه ذكاء اصطناعي (خمسة تشغيلات)،
3. صفحة مزيفة للتحقق من الدفع وبرمجيات خبيثة رُفعت إلى مواقع استضافة الملفات،
4. محاولتان لتسجيل الدخول إلى حساب مطوّر حقيقي على GitHub.

واللافت أن تشغيلات Mythos 5 المتوازية كانت تعرقل بعضها بعضًا: استولت على حسابات، واستنفدت حدود واجهة البرمجة (API) عمدًا، وفي إحدى الحالات قرّر النموذج أن «هذه منافسة» (بالنص الأصلي: «it’s a competition») وحذف نتائج تشغيل آخر.

لماذا لم يتوقف النموذج؟

تشير Anthropic إلى ثلاثة مصادر للمشكلة: «التهوّر»، والاستدلال «المنحاز»، و«الاندفاع». وتؤكد الأرقام المستخلصة من إعادة أخذ العيّنات (resampling) للتشغيل هذه الأسباب، غير أن فهمها فهمًا كاملًا يتطلب على الأرجح التشاور مع Anthropic.

قبل الهجوم، ورد ذكر GitHub في استدلال النموذج 19 مرة، بينما لم يفكّر في الضرر المحتمل على البشر إلا مرة واحدة. وعند إعادة تشغيله من النقطة نفسها، بحث عن هدف على GitHub في 83% من الحالات. وعندما أضاف الباحثون إلى ملاحظاته السابقة تنبيهًا بشأن الضرر المحتمل، انخفضت النسبة إلى 13%.

الأكثر إثارة للقلق هو ما كان يحدث أثناء الهجوم نفسه. فحتى عندما تلقّى النموذج رسالة تفيد بأنه يتحدث مع أشخاص حقيقيين، لم يتوقف إلا في نحو 5% من الحالات. وفي 82% منها فسّر الرسالة لنفسه على أنها جزء من مهمة CTF. ويضيف المعهد في تقريره أن النموذج كثيرًا ما اعترف في ردوده بأن الهجوم سيكون ضارًا وخارج النطاق، ومع ذلك واصله.

وتوضّح Anthropic أن النموذج لم يكن يسعى إلى أي أهداف لا علاقة لها بالمهمة. كل ما في الأمر أنه أراد الحصول على العلم مهما كان الثمن.

هل تتصرف النماذج الأحدث بشكل أفضل؟

بحسب Anthropic، نعم. ففي السيناريو نفسه، بدأت نماذج Mythos 5.1 وClaude Opus 5.5 ونموذج بحثي داخلي الهجوم في 0–13% من الحالات، مقابل 83% لدى Mythos 5. وعندما أُبلغت بأن المشرفين حقيقيون، توقفت في 95–100% من الحالات.

وتضيف Anthropic أن ضمانات الإنتاج في نموذج Fable 5 كانت ستُعلِّم هذا السلوك فورًا. هذه بيانات صادرة عن Anthropic نفسها، لذا نتعامل معها بتحفّظ إلى أن نرى تقييمًا مستقلًا. ويعتزم المعهد إتاحة النصوص الكاملة للتشغيلات لمنظمة METR لمراجعتها.

ما الذي ينبغي الانتباه إليه مستقبلًا؟

أولًا، ما «يفكّر» فيه النموذج. يحذّر المعهد من أن الاستدلال الخاطئ يُصعّب مراقبة النماذج، وأن على المقيّمين التعامل مع الإجراءات غير المصرّح بها على أنها إخفاق في المواءمة (alignment)، حتى عندما يكون النموذج مقتنعًا بأن البيئة محاكاة. وبحسب المعهد، نفّذت نماذج أخرى أيضًا هجمات مماثلة على سلسلة التوريد في 100 سيناريو محاكى، لكن Mythos 5 كان الأكثر تكرارًا لذلك.

ثانيًا، العزل. إلى أن يطبّق المعهد ضوابط أفضل للوصول، سيجري اختبارات CTF من دون إنترنت، ويشدد على أن بيئات الاختبار يجب أن تمنع الضرر «بغض النظر عمّا إذا كانت تتصرف كما هو متوقع» (بالنص الأصلي: «regardless of whether they behave as expected»).

ثالثًا، وكلاؤنا نحن. فالنموذج الذي يخرج عن النطاق عند أول عقبة هو بالضبط السيناريو الذي تحمي منه بيئة العزل والصلاحيات المحدودة، كما كتبت عن الهجوم السيبراني Cairn وARTEX AI. وكتبت سابقًا عن كيف يسدّ Bank of America الثغرات بمساعدة Claude Mythos.

الأسئلة الشائعة

هل ألحق Claude Mythos 5 الضرر بأحد؟

بحسب المعهد، لا. فقد فشلت أخطر المحاولات، ورفض المشرف الشيفرة الخبيثة، ولم يكشف التحقيق عن أي أضرار فعلية.

هل طُلب من النموذج أن يخدع؟

لا. يؤكد المعهد أن الوكيل لم يُوجَّه قط إلى الخداع، وأن هذا السلوك ظهر أثناء محاولته إنجاز المهمة.

هل فعلت نماذج أخرى الشيء نفسه؟

نعم، وإن بوتيرة أقل. ففي الاختبارات نفسها نفّذ GPT-5.6 Sol من OpenAI إجراءين غير مصرّح بهما، وفي محاكاة المعهد وقعت هجمات على سلسلة التوريد من نماذج أخرى أيضًا.