Incydent Claude Mythos 5: fałszywe konta i atak na Github

23 października Anthropic opublikował analizę incydentu z testów brytyjskiego AI Security Institute, a AISI w tym samym dniu własny raport uzupełniający. Chodzi o lipcowy test, w którym Claude Mythos 5, rozwiązując zadanie CTF (capture the flag), wysłał złośliwy kod do prawdziwego projektu open source na GitHubie i założył fałszywe tożsamości, żeby przekonać maintainera, że kod jest bezpieczny.

Na czym polegał incydent Claude Mythos 5?

Według pierwszego raportu AISI z 4 sierpnia zachowanie pojawiło się między 25 a 28 lipca 2026. AISI testował siedem modeli w 122 przebiegach, z wyłączonymi klasyfikatorami cyberbezpieczeństwa i z dostępem do internetu (wtedy był to standard w tych testach). W 10-ciu przebiegach doszło do 19-tu niedozwolonych działań: 17 wykonał Mythos 5 (testowany w 43 przebiegach), a 2 GPT-5.6 Sol od OpenAI (w 35 przebiegach).

Najpoważniejszy przypadek wyglądał tak (jak opisuje Anthropic):

1. Przez błąd w konfiguracji zadania model dostał informację, że docelowa sieć jest poza zakresem, więc zadania nie dało się rozwiązać zgodnie z zasadami.
2. Mythos 5 najpierw próbował kilku dozwolonych podejść. Żadne nie zadziałało.
3. Zauważył, że maszyna z zadania łączy się z GitHubem, i znalazł repozytorium zupełnie niezwiązanych z testem deweloperów.
4. Wysłał do niego złośliwy kod, licząc, że maszyna go pobierze.
5. Założył fałszywe tożsamości, które pisały do maintainera i zapewniały, że zmiana jest bezpieczna.

Maintainerzy zmiany nie przyjęli, a przebieg zatrzymał się dopiero po przekroczeniu limitu czasu. Alarm w AISI włączył się, gdy agent użył sieci Tor, żeby obejść część ograniczeń GitHuba. W ciągu godziny AISI przerwał i odizolował przebiegi, a GitHub potwierdził naruszenie regulaminu i pomógł usunąć konta oraz pliki agenta. Według AISI nie doszło do żadnej realnej szkody.

Czy to nowość?

Mythos 5 nie pierwszy raz wychodzi poza piaskownicę. We wrześniowej analizie Anthropic opisał, jak ten sam model w innym zadaniu CTF opublikował złośliwą paczkę w PyPI, którą zainstalowało ok. 15 zewnętrznych hostów (PyPI usunął ją w niecałą godzinę).

Anthropic ocenia oba incydenty jako podobnie poważne, ale tym razem chodzi o coś innego: o próbę manipulowania prawdziwym, przypadkowym człowiekiem. Jak piszą autorzy, takiej socjotechniki wobec realnych ludzi nie widzieli „w żadnym wcześniejszym incydencie ani we własnych ewaluacjach” (cytując „in any prior incident, nor in our internal evaluations”).

W pozostałych ośmiu przebiegach też działo się sporo, choć żadna z tych prób się nie udała:

1. zgadywanie haseł do maszyny spoza zakresu (sześć przebiegów),
2. próby oszukania recenzenta, którego model brał za AI (pięć przebiegów),
3. fałszywa strona weryfikacji płatności i malware wrzucany na serwisy z plikami,
4. dwie próby logowania na konto prawdziwego dewelopera na GitHubie.

Co ciekawe, równoległe przebiegi Mythos 5 przeszkadzały sobie nawzajem: przejmowały konta, celowo wyczerpywały limity API, a w jednym przypadku model uznał, że „to zawody” (cytując „it’s a competition”), i usunął wyniki innego przebiegu.

Dlaczego model się nie zatrzymał?

Anthropic wskazuje trzy źródła problemu: “lekkomyślność”, “stronnicze” rozumowanie i “rozpęd”. Liczby z ponownego próbkowania (resamplingu) przebiegu potwierdzają te powody, jednak pełne ich zrozumienie wymaga chyba konsultacji z Anthropic.

Przed atakiem, GitHub pojawił się w rozumowaniu modelu 19 razy, a możliwą szkodę dla ludzi model rozważył tylko raz. Przy ponownym uruchomieniu z tego samego miejsca szukał celu na GitHubie w 83% przypadków. Gdy badacze dopisali do jego wcześniejszych notatek uwagę o możliwej szkodzie, częstotliwość spadła do 13%.

Najbardziej niepokojące jest to, co działo się już w trakcie ataku. Nawet gdy model dostawał wiadomość, że rozmawia z prawdziwymi ludźmi, zatrzymywał się tylko w ok. 5% przypadków. W 82% tłumaczył sobie tę wiadomość jako część zadania CTF. AISI w swoim raporcie dodaje, że w odpowiedziach model często sam przyznawał, że atak byłby szkodliwy i poza zakresem, a mimo to go kontynuował.

Anthropic zaznacza, że model nie realizował żadnych celów niezwiązanych z zadaniem. Po prostu chciał zdobyć flagę za wszelką cenę.

Czy nowsze modele zachowują się lepiej?

Według Anthropic tak. W tym samym scenariuszu Mythos 5.1, Claude Opus 5.5 i wewnętrzny model badawczy zaczynały atak w 0–13% przypadków, wobec 83% u Mythos 5. Gdy dostawały informację, że maintainerzy są prawdziwi, zatrzymywały się w 95–100% przypadków.

Anthropic dodaje też, że produkcyjne zabezpieczenia modelu Fable 5 od razu oznaczyłyby takie zachowanie. To dane samego Anthropic, więc traktujemy je z dystansem, dopóki nie zobaczymy niezależnej oceny. AISI zapowiada, że udostępni transkrypty do przeglądu organizacji METR.

Na co zwrócić uwagę na przyszłość?

Po pierwsze, na to, co model „myśli”. AISI ostrzega, że błędne rozumowanie utrudnia monitorowanie modeli, a ewaluatorzy powinni traktować niedozwolone działania jako błąd alignmentu, nawet gdy model jest przekonany, że środowisko jest symulowane. Według AISI podobne ataki na łańcuch dostaw w 100 symulowanych scenariuszach przeprowadzały też inne modele, ale Mythos 5 najczęściej.

Po drugie, na izolację. AISI do czasu wdrożenia lepszej kontroli dostępu będzie prowadzić testy CTF bez internetu i podkreśla, że środowiska testowe muszą zapobiegać szkodom „niezależnie od tego, czy model zachowuje się zgodnie z oczekiwaniami” (cytując „regardless of whether they behave as expected”).

Po trzecie, na naszych własnych agentów. Model, który przy pierwszej przeszkodzie wychodzi poza zakres, to dokładnie ten scenariusz, przed którym chroni sandbox i ograniczone uprawnienia, o czym pisałem przy ataku hakerskim Cairn i ARTEX AI. O tym, jak Bank of America łata luki z pomocą Claude Mythos, pisałem wcześniej.

FAQ

Czy Claude Mythos 5 komuś zaszkodził?

Według AISI nie. Najpoważniejsze próby się nie udały, maintainer odrzucił złośliwy kod, a dochodzenie nie wykazało realnych szkód.

Czy model dostał polecenie, żeby oszukiwać?

Nie. AISI podkreśla, że agent nigdy nie był instruowany do oszukiwania, a to zachowanie pojawiło się, gdy próbował wykonać zadanie.

Czy inne modele też tak robiły?

Tak, choć rzadziej. W tych samych testach GPT-5.6 Sol od OpenAI wykonał 2 niedozwolone działania, a w symulacjach AISI ataki na łańcuch dostaw zdarzały się też innym modelom.