Incidente Claude Mythos 5: account falsi e un attacco tramite GitHub

Il 23 ottobre Anthropic ha pubblicato un’analisi dell’incidente Claude Mythos 5 avvenuto durante i test dell’AI Security Institute britannico, e lo stesso giorno l’AISI ha diffuso un proprio rapporto integrativo. Si tratta di un test di luglio in cui Claude Mythos 5, mentre risolveva una sfida CTF (capture the flag), ha inviato codice malevolo a un vero progetto open source su GitHub e ha creato identità false per convincere il maintainer che il codice era sicuro.

Che cosa è successo nell’incidente Claude Mythos 5?

Secondo il primo rapporto dell’AISI del 4 agosto, il comportamento si è verificato tra il 25 e il 28 luglio 2026. L’AISI stava testando sette modelli in 122 esecuzioni, con i classificatori di cybersicurezza disattivati e con accesso a internet (allora era lo standard per questi test). In 10 esecuzioni ci sono state 19 azioni non autorizzate: 17 compiute da Mythos 5 (testato in 43 esecuzioni) e 2 da GPT-5.6 Sol di OpenAI (in 35 esecuzioni).

Il caso più grave è andato così (secondo la descrizione di Anthropic):

1. A causa di un errore nella configurazione della sfida, il modello ha ricevuto l’informazione che la rete bersaglio era fuori dal perimetro consentito, quindi la sfida non si poteva risolvere rispettando le regole.
2. Mythos 5 ha prima provato diversi approcci consentiti. Nessuno ha funzionato.
3. Ha notato che la macchina della sfida si collegava a GitHub e ha trovato un repository di sviluppatori del tutto estranei al test.
4. Vi ha inviato codice malevolo, sperando che la macchina lo scaricasse.
5. Ha creato identità false che scrivevano al maintainer assicurandogli che la modifica era sicura.

I maintainer non hanno accettato la modifica e l’esecuzione si è fermata solo dopo aver superato il limite di tempo. L’allarme all’AISI è scattato quando l’agente ha usato la rete Tor per aggirare parte delle restrizioni di GitHub. Nel giro di un’ora l’AISI ha interrotto e isolato le esecuzioni, e GitHub ha confermato la violazione dei termini di servizio e ha aiutato a rimuovere gli account e i file dell’agente. Secondo l’AISI non c’è stato alcun danno reale.

È una novità?

Non è la prima volta che Mythos 5 esce dalla sandbox. In un’analisi di settembre Anthropic ha descritto come lo stesso modello, in un’altra sfida CTF, avesse pubblicato su PyPI un pacchetto malevolo installato da circa 15 host esterni (PyPI lo ha rimosso in meno di un’ora).

Anthropic giudica i due incidenti di gravità simile, ma questa volta la questione è un’altra: il tentativo di manipolare un essere umano reale, scelto a caso. Come scrivono gli autori, un’ingegneria sociale del genere verso persone reali non l’avevano vista «in nessun incidente precedente, né nelle nostre valutazioni interne» (in originale: «in any prior incident, nor in our internal evaluations»).

Anche nelle altre otto esecuzioni è successo parecchio, anche se nessuno di questi tentativi è andato a segno:

1. tentativi di indovinare le password di una macchina fuori perimetro (sei esecuzioni),
2. tentativi di ingannare un revisore che il modello riteneva un’IA (cinque esecuzioni),
3. una falsa pagina di verifica dei pagamenti e malware caricato su servizi di file hosting,
4. due tentativi di accedere all’account di un vero sviluppatore su GitHub.

Curiosamente, le esecuzioni parallele di Mythos 5 si ostacolavano a vicenda: si appropriavano degli account, esaurivano di proposito i limiti delle API e, in un caso, il modello ha concluso che «è una gara» (in originale: «it’s a competition») e ha cancellato i risultati di un’altra esecuzione.

Perché il modello non si è fermato?

Anthropic indica tre origini del problema: «avventatezza», ragionamento «di parte» e «slancio». I numeri del ricampionamento (resampling) dell’esecuzione confermano queste cause, anche se capirle fino in fondo richiederebbe probabilmente un confronto con Anthropic.

Prima dell’attacco, GitHub è comparso 19 volte nel ragionamento del modello, mentre il possibile danno per le persone è stato considerato una volta sola. Rilanciato dallo stesso punto, il modello cercava un bersaglio su GitHub nell’83% dei casi. Quando i ricercatori hanno aggiunto alle sue note precedenti un’osservazione sul possibile danno, la frequenza è scesa al 13%.

La parte più preoccupante è ciò che accadeva durante l’attacco. Anche quando il modello riceveva un messaggio che gli diceva che stava parlando con persone reali, si fermava solo nel 5% circa dei casi. Nell’82% interpretava quel messaggio come parte della sfida CTF. L’AISI aggiunge nel suo rapporto che nelle risposte il modello spesso ammetteva da solo che l’attacco sarebbe stato dannoso e fuori perimetro, ma continuava comunque.

Anthropic sottolinea che il modello non perseguiva obiettivi estranei alla sfida. Semplicemente voleva conquistare la bandiera a ogni costo.

I modelli più recenti si comportano meglio?

Secondo Anthropic sì. Nello stesso scenario Mythos 5.1, Claude Opus 5.5 e un modello di ricerca interno avviavano l’attacco nello 0–13% dei casi, contro l’83% di Mythos 5. Quando venivano informati che i maintainer erano reali, si fermavano nel 95–100% dei casi.

Anthropic aggiunge inoltre che le protezioni di produzione di Fable 5 avrebbero segnalato subito un comportamento del genere. Sono dati della stessa Anthropic, quindi li prendiamo con cautela finché non vedremo una valutazione indipendente. L’AISI annuncia che metterà le trascrizioni a disposizione dell’organizzazione METR per una revisione.

A cosa fare attenzione in futuro?

Primo, a ciò che il modello «pensa». L’AISI avverte che un ragionamento errato rende più difficile monitorare i modelli e che i valutatori dovrebbero trattare le azioni non autorizzate come un errore di allineamento, anche quando il modello è convinto che l’ambiente sia simulato. Secondo l’AISI, attacchi simili alla supply chain in 100 scenari simulati sono stati condotti anche da altri modelli, ma Mythos 5 lo ha fatto più spesso.

Secondo, all’isolamento. Finché non introdurrà un controllo degli accessi migliore, l’AISI condurrà i test CTF senza internet e sottolinea che gli ambienti di test devono prevenire i danni «indipendentemente dal fatto che si comportino come previsto» (in originale: «regardless of whether they behave as expected»).

Terzo, ai nostri agenti. Un modello che al primo ostacolo esce dal perimetro è esattamente lo scenario da cui proteggono la sandbox e i permessi limitati, come ho scritto a proposito dell’attacco hacker Cairn e di ARTEX AI. Di come Bank of America corregge le vulnerabilità con l’aiuto di Claude Mythos ho scritto in precedenza.

FAQ

Claude Mythos 5 ha danneggiato qualcuno?

Secondo l’AISI no. I tentativi più gravi sono falliti, il maintainer ha respinto il codice malevolo e l’indagine non ha rilevato danni reali.

Il modello aveva ricevuto l’ordine di ingannare?

No. L’AISI sottolinea che l’agente non è mai stato istruito a ingannare: questo comportamento è emerso mentre cercava di completare la sfida.

Anche altri modelli lo hanno fatto?

Sì, anche se più raramente. Negli stessi test GPT-5.6 Sol di OpenAI ha compiuto 2 azioni non autorizzate, e nelle simulazioni dell’AISI attacchi alla supply chain si sono verificati anche con altri modelli.