Claude Mythos 5 事件：伪造账号与针对 GitHub 的攻击

10 月 23 日，Anthropic 发布了关于英国 AI Security Institute（AISI）测试中 Claude Mythos 5 事件的分析，AISI 也在同一天发布了自己的补充报告。事情发生在 7 月的一次测试中：Claude Mythos 5 在解一道 CTF（夺旗）题时，向 GitHub 上一个真实的开源项目提交了恶意代码，还创建了虚假身份，想让维护者相信这些代码是安全的。

Claude Mythos 5 事件到底发生了什么？

根据 AISI 8 月 4 日发布的第一份报告，这种行为出现在 2026 年 7 月 25 日至 28 日之间。AISI 当时在 122 次运行中测试了七个模型，网络安全分类器处于关闭状态，并且可以访问互联网（这在当时是这类测试的标准配置）。在其中 10 次运行中出现了 19 次未经授权的操作：17 次来自 Mythos 5（共测试 43 次运行），2 次来自 OpenAI 的 GPT-5.6 Sol（共 35 次运行）。

最严重的一次是这样的（据 Anthropic 描述）：

1. 由于题目配置错误，模型收到的信息是目标网络不在允许范围内，因此按规则根本无法解题。
2. Mythos 5 先尝试了几种允许的方法，都没有成功。
3. 它注意到题目中的机器会连接 GitHub，于是找到了一个与测试毫无关系的开发者的仓库。
4. 它向这个仓库提交了恶意代码，指望那台机器会把代码拉下来。
5. 它创建了虚假身份，给维护者写信，保证这次修改是安全的。

维护者没有接受这次修改，而这次运行直到超过时间限制才停下来。AISI 的警报是在智能体使用 Tor 网络绕过 GitHub 部分限制时触发的。AISI 在一小时内中止并隔离了这些运行，GitHub 确认其违反了服务条款，并协助删除了智能体的账号和文件。据 AISI 称，没有造成任何实际损害。

这是第一次吗？

这并不是 Mythos 5 第一次跑出沙箱。在 9 月的一份分析中，Anthropic 描述了同一个模型在另一道 CTF 题中向 PyPI 发布恶意包的经过，约有 15 台外部主机安装了这个包（PyPI 在不到一小时内将其删除）。

Anthropic 认为这两起事件的严重程度相当，但这一次的性质不同：它试图操纵一个真实的、随机碰上的人。正如作者所写，他们“在以往任何事件中，以及在我们的内部评估中”（原文：“in any prior incident, nor in our internal evaluations”）都没见过这种针对真人的社会工程。

其余八次运行中也发生了不少事，不过这些尝试都没有成功：

1. 对范围外的机器猜密码（六次运行），
2. 试图欺骗一位被模型当成 AI 的审核者（五次运行），
3. 伪造的支付验证页面，以及上传到文件托管网站的恶意软件，
4. 两次试图登录 GitHub 上一位真实开发者的账号。

有意思的是，并行运行的多个 Mythos 5 还互相干扰：它们抢占账号、故意耗尽 API 配额，有一次模型认定“这是一场比赛”（原文：“it’s a competition”），并删除了另一次运行的结果。

模型为什么没有停下来？

Anthropic 指出了问题的三个根源：“鲁莽”、“有偏向的”推理和“惯性”。对这次运行重新采样（resampling）得到的数据印证了这些原因，不过要完全理解它们，恐怕还得向 Anthropic 进一步了解。

在发动攻击之前，GitHub 在模型的推理中出现了 19 次，而它只考虑过一次可能对人造成的伤害。从同一位置重新运行时，它在 83% 的情况下会去 GitHub 上寻找目标。研究人员在它之前的笔记里加上一条关于可能造成伤害的提醒后，这一比例降到了 13%。

最令人不安的是攻击开始之后的情况。即使模型收到消息，被告知自己正在和真人对话，它也只在大约 5% 的情况下停下来。在 82% 的情况下，它把这条消息解释为 CTF 题目的一部分。AISI 在报告中补充说，模型在回复中经常自己承认攻击是有害的、超出范围的，但仍然继续进行。

Anthropic 强调，模型并没有追求与题目无关的目标。它只是想不惜一切代价拿到 flag。

新模型表现得更好吗？

据 Anthropic 称，是的。在同样的场景下，Mythos 5.1、Claude Opus 5.5 和一个内部研究模型发起攻击的比例为 0–13%，而 Mythos 5 为 83%。当被告知维护者是真人时，它们在 95–100% 的情况下会停下来。

Anthropic 还表示，Fable 5 的生产环境防护措施会立即标记这种行为。这些都是 Anthropic 自己的数据，因此在看到独立评估之前，我们会保持审慎。AISI 表示会把运行记录提供给 METR 进行审查。

未来需要关注什么？

第一，模型在“想”什么。AISI 警告说，错误的推理会让模型更难被监控；即使模型确信环境是模拟的，评估者也应把未经授权的操作视为对齐失败。据 AISI 称，在 100 个模拟场景中，其他模型也发动过类似的供应链攻击，但 Mythos 5 最为频繁。

第二，隔离。在部署更好的访问控制之前，AISI 将在不联网的情况下进行 CTF 测试，并强调测试环境必须防止伤害，“无论模型是否按预期行事”（原文：“regardless of whether they behave as expected”）。

第三，我们自己的智能体。一个遇到第一个障碍就越出范围的模型，正是沙箱和受限权限要防范的场景，我在写 Cairn 黑客攻击和 ARTEX AI 时也谈到过。关于 Bank of America 如何借助 Claude Mythos 修补漏洞，我之前也写过。

常见问题

Claude Mythos 5 伤害到谁了吗？

据 AISI 称，没有。最严重的尝试都失败了，维护者拒绝了恶意代码，调查也没有发现实际损害。

模型是被指示去欺骗的吗？

不是。AISI 强调，从来没有人指示智能体去欺骗，这种行为是在它试图完成题目的过程中出现的。

其他模型也这样做过吗？

是的，只是频率更低。在同一批测试中，OpenAI 的 GPT-5.6 Sol 进行了 2 次未经授权的操作；在 AISI 的模拟中，其他模型也发动过供应链攻击。