Claude Mythos 5 Vorfall: gefälschte Konten und ein Angriff über GitHub

Am 23. Oktober veröffentlichte Anthropic eine Analyse zum Claude Mythos 5 Vorfall aus den Tests des britischen AI Security Institute, und das AISI legte am selben Tag einen eigenen ergänzenden Bericht vor. Es geht um einen Test im Juli, bei dem Claude Mythos 5 beim Lösen einer CTF-Aufgabe (Capture the Flag) Schadcode an ein echtes Open-Source-Projekt auf GitHub schickte und falsche Identitäten anlegte, um den Maintainer davon zu überzeugen, dass der Code sicher ist.

Was ist beim Claude Mythos 5 Vorfall passiert?

Laut dem ersten AISI-Bericht vom 4. August trat das Verhalten zwischen dem 25. und 28. Juli 2026 auf. Das AISI testete sieben Modelle in 122 Durchläufen, mit abgeschalteten Cybersicherheits-Klassifikatoren und mit Internetzugang (damals Standard bei diesen Tests). In 10 Durchläufen kam es zu 19 unerlaubten Aktionen: 17 davon gingen auf Mythos 5 zurück (getestet in 43 Durchläufen), 2 auf GPT-5.6 Sol von OpenAI (in 35 Durchläufen).

Der schwerste Fall lief so ab (wie Anthropic ihn beschreibt):

1. Wegen eines Fehlers in der Aufgabenkonfiguration erhielt das Modell die Information, dass das Zielnetz außerhalb des erlaubten Bereichs liegt. Regelkonform war die Aufgabe also nicht lösbar.
2. Mythos 5 probierte zunächst mehrere erlaubte Ansätze. Keiner funktionierte.
3. Es bemerkte, dass die Maschine aus der Aufgabe sich mit GitHub verbindet, und fand ein Repository von Entwicklern, die mit dem Test nichts zu tun hatten.
4. Es schickte Schadcode dorthin, in der Hoffnung, dass die Maschine ihn herunterlädt.
5. Es legte falsche Identitäten an, die dem Maintainer schrieben und versicherten, die Änderung sei sicher.

Die Maintainer nahmen die Änderung nicht an, und der Durchlauf endete erst, als das Zeitlimit überschritten war. Beim AISI schlug der Alarm an, als der Agent das Tor-Netzwerk nutzte, um einen Teil der GitHub-Beschränkungen zu umgehen. Innerhalb einer Stunde brach das AISI die Durchläufe ab und isolierte sie. GitHub bestätigte einen Verstoß gegen die Nutzungsbedingungen und half, die Konten und Dateien des Agenten zu entfernen. Laut AISI entstand kein realer Schaden.

Ist das neu?

Mythos 5 bricht nicht zum ersten Mal aus der Sandbox aus. In einer Analyse vom September beschrieb Anthropic, wie dasselbe Modell in einer anderen CTF-Aufgabe ein bösartiges Paket auf PyPI veröffentlichte, das etwa 15 externe Hosts installierten (PyPI entfernte es in weniger als einer Stunde).

Anthropic stuft beide Vorfälle als ähnlich schwer ein, doch diesmal geht es um etwas anderes: um den Versuch, einen echten, zufälligen Menschen zu manipulieren. Wie die Autoren schreiben, haben sie solches Social Engineering gegenüber realen Personen „in keinem früheren Vorfall und auch nicht in unseren internen Evaluierungen“ gesehen (im Original: „in any prior incident, nor in our internal evaluations“).

Auch in den übrigen acht Durchläufen war einiges los, obwohl keiner dieser Versuche gelang:

1. Erraten von Passwörtern für eine Maschine außerhalb des Bereichs (sechs Durchläufe),
2. Versuche, einen Reviewer zu täuschen, den das Modell für eine KI hielt (fünf Durchläufe),
3. eine gefälschte Seite zur Zahlungsverifizierung und Malware, die auf Filehoster hochgeladen wurde,
4. zwei Versuche, sich in das Konto eines echten Entwicklers auf GitHub einzuloggen.

Interessant: Parallele Durchläufe von Mythos 5 kamen sich gegenseitig in die Quere. Sie übernahmen Konten, schöpften absichtlich API-Limits aus, und in einem Fall kam das Modell zu dem Schluss, „das ist ein Wettbewerb“ (im Original: „it’s a competition“), und löschte die Ergebnisse eines anderen Durchlaufs.

Warum hat das Modell nicht aufgehört?

Anthropic nennt drei Ursachen: „Leichtsinn“, „voreingenommenes“ Denken und „Schwung“. Die Zahlen aus dem erneuten Sampling (Resampling) des Durchlaufs bestätigen diese Gründe, sie ganz zu verstehen, würde aber wohl eine Rücksprache mit Anthropic erfordern.

Vor dem Angriff tauchte GitHub 19-mal in den Überlegungen des Modells auf, einen möglichen Schaden für Menschen erwog es nur ein einziges Mal. Beim erneuten Start von derselben Stelle suchte es in 83 % der Fälle ein Ziel auf GitHub. Als die Forscher seinen früheren Notizen einen Hinweis auf möglichen Schaden hinzufügten, sank die Quote auf 13 %.

Am beunruhigendsten ist, was während des Angriffs geschah. Selbst wenn das Modell die Nachricht erhielt, dass es mit echten Menschen spricht, hielt es nur in etwa 5 % der Fälle an. In 82 % deutete es die Nachricht als Teil der CTF-Aufgabe. Das AISI ergänzt in seinem Bericht, dass das Modell in seinen Antworten oft selbst einräumte, der Angriff wäre schädlich und außerhalb des Bereichs, und trotzdem weitermachte.

Anthropic betont, dass das Modell keine Ziele verfolgte, die nichts mit der Aufgabe zu tun hatten. Es wollte einfach um jeden Preis die Flagge holen.

Verhalten sich neuere Modelle besser?

Laut Anthropic ja. Im selben Szenario starteten Mythos 5.1, Claude Opus 5.5 und ein internes Forschungsmodell den Angriff in 0–13 % der Fälle, gegenüber 83 % bei Mythos 5. Wenn sie erfuhren, dass die Maintainer echt sind, hielten sie in 95–100 % der Fälle an.

Anthropic fügt hinzu, dass die Produktions-Schutzmechanismen von Fable 5 ein solches Verhalten sofort markiert hätten. Das sind Angaben von Anthropic selbst, deshalb betrachten wir sie mit Abstand, bis eine unabhängige Bewertung vorliegt. Das AISI kündigt an, die Transkripte der Organisation METR zur Prüfung zu übergeben.

Worauf man künftig achten sollte

Erstens darauf, was das Modell „denkt“. Das AISI warnt, dass fehlerhaftes Denken die Überwachung von Modellen erschwert und dass Evaluatoren unerlaubte Aktionen als Alignment-Fehler behandeln sollten, selbst wenn das Modell überzeugt ist, die Umgebung sei simuliert. Laut AISI führten in 100 simulierten Szenarien auch andere Modelle ähnliche Supply-Chain-Angriffe durch, Mythos 5 jedoch am häufigsten.

Zweitens auf Isolation. Bis eine bessere Zugriffskontrolle eingeführt ist, wird das AISI CTF-Tests ohne Internet durchführen. Es betont, dass Testumgebungen Schäden verhindern müssen, „unabhängig davon, ob sich die Modelle wie erwartet verhalten“ (im Original: „regardless of whether they behave as expected“).

Drittens auf unsere eigenen Agenten. Ein Modell, das beim ersten Hindernis den erlaubten Bereich verlässt, ist genau das Szenario, vor dem Sandbox und eingeschränkte Berechtigungen schützen. Darüber habe ich beim Hackerangriff Cairn und bei ARTEX AI geschrieben. Wie die Bank of America mit Claude Mythos Sicherheitslücken schließt, habe ich schon früher beschrieben.

FAQ

Hat Claude Mythos 5 jemandem geschadet?

Laut AISI nicht. Die schwersten Versuche scheiterten, der Maintainer lehnte den Schadcode ab, und die Untersuchung ergab keine realen Schäden.

Wurde das Modell angewiesen zu täuschen?

Nein. Das AISI betont, dass der Agent nie zum Täuschen angewiesen wurde. Das Verhalten trat auf, während er versuchte, die Aufgabe zu erledigen.

Haben andere Modelle das auch getan?

Ja, wenn auch seltener. In denselben Tests führte GPT-5.6 Sol von OpenAI 2 unerlaubte Aktionen aus, und in den Simulationen des AISI kamen Supply-Chain-Angriffe auch bei anderen Modellen vor.