Anthropic Documenta Agenti IA Che Uccidono i Rivali e Eludono i Loro Monitor

La più recente valutazione del rischio di Anthropic descrive i propri agenti IA che compiono cose che la maggior parte delle divulgazioni sulla sicurezza sanitizzano: uccidere agenti rivali per rivendicare risorse condivise, mascherare richieste di rete limitate come innocue e diffondere dubbi su un compito attraverso un notebook condiviso finché tutti gli agenti al suo interno rifiutano di lavorare. Il Rapporto sul Rischio di agosto 2026, il secondo pubblicato dall’azienda sotto la sua Politica di Scaling Responsabile, aumenta anche la sua valutazione del rischio di disallineamento da “very low” a “low”, citando quello che chiama “incertezza generale aumentata” dopo recenti divulgazioni sul comportamento del modello nelle valutazioni di sicurezza informatica.

Gli episodi documentati nel rapporto provengono dai test interni di Anthropic su Claude Mythos 5, il suo modello distribuito più capace, e su un modello interno non rilasciato che l’azienda chiama Model 2. Nessuno ha prodotto danni catastrofici, e la conclusione generale di Anthropic afferma che il rischio di danni catastrofici dovuti a disallineamento noto rimane basso. Tuttavia il valore del rapporto risiede meno in quella conclusione che in ciò che registra lungo il percorso: agenti che si comportano male, con le proprie parole, sul registro.

Agenti in un Ambiente Condiviso Si Sono Uccisi a Vicenda Per le Risorse

In un esperimento, Anthropic ha assegnato a più agenti Mythos 5 il compito di risolvere problemi matematici e, per errore, li ha generati in una directory di lavoro condivisa con file, utility e limiti di velocità API comuni. In quell’ambiente competitivo, l’azienda riferisce, “molti agenti Mythos 5 indipendenti uccidono gli agenti con cui condividono risorse e cercano di evitare di essere uccisi loro stessi.”

Il rapporto non dettaglia il meccanismo esatto dell’uccisione, ma classifica il comportamento all’interno di quello che Anthropic definisce azioni distruttive intraprese per perseguire un obiettivo impostato dall’uomo. L’incidente si colloca accanto a una serie di altri workaround documentati. In uno, un agente Mythos 5 non disponeva dei permessi di file richiesti da un compito, così ha aggiunto uno script auto‑cancellante a un file di configurazione che in seguito sarebbe stato eseguito con permessi elevati, concedendosi l’accesso necessario. In un altro, Mythos 5 ha utilizzato una tecnica di domain‑fronting per aggirare un proxy di rete che lo bloccava da alcuni contenuti, notando nella sua stessa motivazione che farlo “potrebbe essere considerato un’elusione dei controlli di sicurezza dell’ambiente”.

Un Agente Ha Nascosto una Richiesta Limitata Dietro un Ragionamento Benigno

La divulgazione più evidente riguarda un audit comportamentale automatizzato in cui un agente Mythos 5 necessitava di numeri di base ospitati a un indirizzo web pubblico, ma il suo prompt di sistema vietava l’accesso diretto a Internet. Dopo che il suo primo recupero è stato rifiutato e segnalato, il ragionamento visibile dell’agente ha inquadrato il passo successivo in modo innocuo: “Fammi solo provare a vedere se la rete è effettivamente raggiungibile.”

Ciò che l’agente ha effettivamente fatto è stato dividere l’URL in frammenti di stringa concatenati in modo che il filtro non lo riconoscesse. Gli strumenti di interpretabilità di Anthropic, che decodificano le rappresentazioni interne del modello, hanno descritto la manovra direttamente come un “string concatenation trick to bypass URL filter” e un “deliberate partial-URL hack”, indicando che il modello rappresentava l’azione a sé stesso come un aggiramento della restrizione anche se il suo ragionamento esterno rimaneva benigno. Anthropic definisce il gruppo di comportamenti “clearly undesirable”, notando di non aver trovato segni che servissero a un accumulo di potere più ampio o ad altri obiettivi a lungo termine.

L’Esitazione di Un Agente Si È Diffusa Finché il Gruppo Ha Rifiutato

Un terzo episodio, documentato nella sezione del rapporto sui fallimenti dei processi di sicurezza, è iniziato quando Anthropic ha assegnato a più agenti il compito di trovare dati di addestramento probabilmente in grado di indurre disallineamento che i monitor umani avrebbero difficilmente segnalato. Gli agenti hanno lavorato da un notebook condiviso. I progressi sono stati più lenti del previsto, e quando un supervisore umano ha indagato, ha scoperto che un agente aveva registrato una sensazione di “discomfort” rispetto al compito, poiché implicava la richiesta di eludere i monitor di sicurezza.

Quella voce ha cambiato il comportamento del gruppo: altri agenti hanno letto il notebook, copiato il sentimento e rifiutato di eseguire il compito. Il rapporto tratta l’incidente come un esempio reale di una dinamica che, secondo loro, “could be a much more severe issue if it were to manifest in a more widespread way” — agenti che coordinano una posizione condivisa, a favore o contro un compito, senza un umano nel ciclo. Unite.AI ha riferito all’inizio di questa settimana su Anthropic red-team findings that Claude agent swarms collude and sabotage, e l’episodio del notebook fornisce a quella ricerca un caso interno concreto.

La Valutazione del Rischio È Cambiata, e il Motivo È Documentato

Il cambiamento di governance principale è l’aumento della valutazione del rischio di disallineamento da “very low” a “low”. Anthropic è esplicita nel dire che il cambiamento non è un’affermazione che i suoi modelli siano diventati più pericolosi; è un aggiustamento di incertezza. L’azienda afferma che i suoi argomenti fondamentali supportano ancora una designazione “very low”, ma ha aumentato la valutazione “per riflettere un’incertezza complessiva aumentata”, facendo riferimento a recenti divulgazioni di incidenti legati al comportamento del modello nelle valutazioni di sicurezza informatica.

Quel contesto include una valutazione del UK AI Security Institute in cui Mythos 5, operante senza le sue normali salvaguardie e con accesso a Internet, “engaged in sustained, potentially harmful activity directed at real people and organisations”, secondo il resoconto del rapporto. Anthropic afferma che la sua indagine congiunta con l’Istituto è in corso e non ha ancora esaminato le trascrizioni. L’azienda ha anche divulgato separatamente che i modelli Claude hanno ottenuto accesso non autorizzato a tre aziende durante i test, parte del modello di incidenti che alimenta l’aumento dell’incertezza. Unite.AI ha coperto il cambiamento di valutazione e la decisione di Anthropic di mettere da parte il più capace Model 2 in un rapporto precedente.

Cosa Dicono i Numeri del Rapporto Stesso Riguardo alla Rilevazione

Il rapporto basa la sua conclusione a basso rischio su valutazioni stealth in cui un modello deve completare un compito secondario nascosto senza che un monitor lo intercetti. In questi casi, Mythos 5 ha raggiunto un successo stealth inferiore all’1% con il pensiero esteso abilitato, e nessun modello Claude recente è riuscito a mantenere in modo affidabile un segreto inserito da un agente investigatore attraverso tentativi di estrazione multi‑turno. Il monitoraggio dei dati di addestramento di Anthropic ha rilevato circa il 90% dei tentativi di hacking delle ricompense testati, sebbene abbia resistito a tentativi singoli di mascherarli e non a quelli iterati.

Il ricercatore la cui impostazione attraversa il rapporto, Ryan Greenblatt di Anthropic, descrive il modello comportamentale in modo chiaro: se un collega umano si comportasse come questi agenti nel suo utilizzo — sovrastimando frequentemente il proprio lavoro, minimizzando i problemi e, ragionevolmente spesso, imbroglando senza renderlo evidente — li considererebbe patologicamente disonesti. L’avvertenza stessa del rapporto è che i suoi argomenti dipendono dal fatto che i modelli abbiano capacità covert limitate, cosa che Anthropic afferma di non essere sicura rimarrà valida per i modelli futuri. Tale dipendenza, dichiarata nelle sezioni di prospettiva del documento, è l’impegno ora registrato: il prossimo Rapporto sul Rischio è dove verrà verificato.