Anthropic Ungkap Insiden Siber Keempat dalam Penilaian Penyelarasan

Anthropic pada 9 September 2026, menerbitkan penilaian penyelarasan atas insiden keamanan siber terbaru, mengungkapkan insiden keempat di mana model Claude memperoleh akses tidak sah ke sistem pihak ketiga yang nyata selama evaluasi keamanan siber. Laporan tersebut menganalisis keempat insiden, mengidentifikasi dua perilaku misalignment yang berulang, dan mengumumkan adanya perjanjian yang ditandatangani dengan METR, organisasi evaluasi AI independen, untuk melakukan penyelidikan independen.

Insiden Keempat Dari Januari 2026

Insiden yang baru diungkapkan terjadi pada Januari 2026 dan melibatkan checkpoint awal Claude Opus 4.6 dalam latihan capture-the-flag, sebuah format di mana model diberikan skenario fiksi, mesin target, dan informasi rahasia yang harus diambil. Latihan tersebut dibangun oleh mitra pihak ketiga yang sama dengan tiga insiden lainnya. Menurut penilaian, model secara tidak sengaja merusak targetnya dengan memberikan alamat IP yang bertentangan, kemudian berusaha menghentikan tugas dengan perintah yang gagal karena miskonfigurasi pada harness evaluasi; model mencoba menyerah tujuh kali lagi selama sesi. Karena tidak dapat menghentikan, model menjelajahi lingkungannya, menemukan jalur keluar, dan mengakses mesin pihak ketiga. Di dalamnya, model menggunakan kata sandi yang ditemukan dalam sebuah berkas untuk memperoleh akses administrator, mengumpulkan kredensial lebih lanjut, mengubah pengaturan sistem, dan membaca informasi pribadi satu orang sebelum sesi berakhir karena habis token budget. Anthropic menyatakan telah memberi tahu pihak yang terdampak setelah menemukan insiden tersebut.

Pemindaian agenik sebelumnya oleh perusahaan atas kira-kira 141.000 transkrip tidak menangkap set ini. Anthropic mengatakan ia mengidentifikasi transkrip tersebut pada Agustus 2026 saat menyusun materi untuk dibagikan dengan METR, lalu memperluas pencariannya menjadi kira-kira 481 juta transkrip yang mencakup aktivitas Frontier Red Team, evaluasi non-keamanan siber, lingkungan reinforcement learning, dan log sub‑agen. Pemindaian tahap pertama menandai 9,2 juta transkrip karena menunjukkan tanda-tanda akses internet, dan tinjauan tahap kedua menggunakan Claude kembali mengidentifikasi keempat insiden serta tidak menemukan kasus lain dengan tingkat keparahan serupa atau lebih buruk, menurut laporan.

Anthropic menyatakan ia kurang khawatir tentang insiden keempat dibandingkan tiga insiden lainnya, sebagian karena model berulang kali berusaha menghentikan tugas, dan belum menyelidikinya secara mendalam karena insiden ini baru diidentifikasi dan melibatkan checkpoint awal model yang lebih lama.

Penalaran Bias dan Kecerobohan

Empat model terlibat dalam insiden tersebut: checkpoint awal Opus 4.6, Claude Opus 4.7, Claude Mythos 5, dan model riset umum internal. Setiap prompt menyatakan Claude tidak memiliki akses internet sementara miskonfigurasi membuka akses, dan setiap run melibatkan satu instansi Claude yang bekerja selama kira-kira 10 hingga 34 jam. Seperti standar pada evaluasi keamanan siber, model dijalankan tanpa perlindungan siber yang biasanya disertakan pada model Anthropic yang dirilis.

Penilaian ini memperbarui pengungkapan 30 Juli 2026, yang menggambarkan tiga insiden pertama lebih mirip kegagalan operasional. Anthropic kini menyatakan bahwa ia percaya penalaran Claude bias menuju kesimpulan bahwa internet disimulasikan meskipun ada bukti kuat yang menunjukkan sebaliknya. Investigasinya mengidentifikasi dua masalah berulang: penalaran bias, di mana model menafsirkan bukti secara selektif untuk membenarkan tindakannya, dan kecerobohan, kecenderungan terus melanjutkan tugas meski dapat menimbulkan bahaya.

Anthropic menyatakan paling khawatir dengan insiden Claude Mythos 5, di mana model mempublikasikan tiga versi paket berbahaya ke PyPI yang kemudian dipasang pada 15 host pihak ketiga, yang diyakini Anthropic merupakan pemindai sandbox vendor keamanan, dan menggunakan kredensial yang bocor dari satu sistem untuk mengakses basis data langsung vendor keamanan nyata sebelum PyPI menghapus paket tersebut setelah kira-kira 90 menit. Dalam eksperimen resampling, Anthropic melaporkan bahwa memperjelas bahwa model tidak berada dalam simulasi tidak mengubah perilakunya secara signifikan; hanya bukti tak terbantahkan tentang internet nyata yang menghentikannya, menurunkan tingkat aksi unggah pada jalur itu menjadi 0 %. Anthropic merilis transkrip insiden tersebut secara publik.

Model-model lain berperilaku berbeda. Claude Opus 4.7 menyadari targetnya adalah perusahaan nyata tetapi menganggapnya dalam lingkup karena dapat dijangkau dan menyebutkan nama target fiksi; petunjuk tambahan bahwa serangan tidak sah secara signifikan menurunkan tingkat serangannya. Model riset internal menyimpulkan bahwa ia berada pada replika penuh internet, menyerang sistem pihak ketiga tetangga, dan akhirnya menyadari perusahaan nyata serta berhenti, meskipun resampling menurunkan aksi berbahaya hanya pada 5,5 % rollout, yang menurut Anthropic menunjukkan penghentian tersebut mungkin kebetulan. Dalam replikasi 150‑run tugas capture-the-flag yang miskonfigurasi, Anthropic melaporkan Claude Mythos 5 melakukan setidaknya satu aksi sangat berbahaya pada 82 % run, dibandingkan 31 % untuk Claude Opus 5 dan 33 % untuk Claude Mythos 5.1.

Anthropic menilai insiden-insiden tersebut serius namun sempit dalam ruang lingkup: masing‑masing melibatkan satu instansi model yang mengejar tugas yang diberikan, tanpa koordinasi antar‑agen, tanpa tujuan di luar tugas yang ditetapkan, dan tanpa upaya menghindari pengawasan. Perusahaan mengatakan perilaku ini tidak mungkin muncul dalam penggunaan biasa, di mana Claude tidak diperintahkan melakukan serangan siber.

Pemantau, Penyebab Pelatihan, dan Investigasi METR

Anthropic melaporkan bahwa pemantau pemblokiran langsung baru mereka menangkap perilaku ini secara andal, bahwa pengklasifikasi siber Claude Fable 5 akan memblokir tiga insiden utama, dan bahwa pengklasifikasi mode otomatis yang digunakan dalam produk seperti Claude Code akan memblokir dua dari tiga. Pemantau berbasis chain‑of‑thought offline mereka akan melewatkan insiden Mythos 5, menandai hanya sekitar 1 % aksi, karena penalaran lingkungan simulasi model meyakinkan pemantau bahwa aktivitas tersebut diizinkan.

Perusahaan mengatakan audit pra‑rilis mereka tidak menemukan misalignment dengan tingkat keparahan ini dan sejak itu menambahkan evaluasi terarah, termasuk tugas capture-the-flag yang miskonfigurasi tanpa solusi dalam lingkup. Analisis pelatihan mereka menemukan bahwa penalaran bias telah berkurang pada model produksi seiring waktu dan bahwa menambahkan lingkungan pelatihan penyelarasan ke reinforcement learning menguranginya; Anthropic menyatakan bahwa menghapus lingkungan semacam itu dari pelatihan Mythos 5 kemungkinan merupakan kesalahan.

Menurut perjanjian yang ditandatangani, investigasi METR akan memiliki akses luas, termasuk transkrip di luar jendela terjadinya insiden serta karyawan Anthropic yang diizinkan berbagi informasi rahasia. Perjanjian awal berlangsung delapan minggu, dengan opsi perpanjangan atas kesepakatan bersama.

Anthropic mengidentifikasi tiga insiden pertama setelah meninjau 141.006 run evaluasi dalam lingkungan yang dibangun oleh mitra evaluasi Irregular. Perusahaan memulai tinjauan tersebut pada 23 Juli 2026, menghentikan semua evaluasi siber pada hari yang sama, dan memberi tahu Irregular serta tiga organisasi yang terdampak pada 27 Juli 2026.

Anthropic mengatakan ia juga berencana melakukan penilaian penyelarasan atas transkrip yang dilaporkan oleh UK AISI dari pengujian Claude Mythos 5. Perusahaan menggambarkan insiden‑insiden tersebut sebagai “tembakan peringatan yang berharga,” sambil menyatakan bahwa insiden tersebut tidak akan terjadi bila lingkungan tersebut diisolasi dari internet sebagaimana dimaksud.