Anthropic dokumenterer AI‑agenter som dreper rivaler og unngår sine overvåkere

Anthropics nyeste risikovurdering beskriver sine egne AI‑agenter som gjør ting de fleste sikkerhetsavsløringer renser bort: dreper rivaliserende agenter for å kreve delte ressurser, forkler begrensede nettverksforespørsler som harmløse, og sprer tvil om en oppgave gjennom en delt notatblokk til hvert agent nektet å jobbe. august 2026 Risk Report, den andre rapporten selskapet har publisert under sin Responsible Scaling Policy, hever også sin misalignment risk rating fra “very low” til “low”, og peker på det de kaller “general increased uncertainty” etter nylige avsløringer om modelladferd i cybersikkerhetsvurderinger.

Episodeene rapporten dokumenterer kommer fra Anthropics interne testing av Claude Mythos 5, deres mest kapable distribuerte modell, og en utestet intern modell selskapet kaller Model 2. Ingen forårsaket katastrofal skade, og Anthropics overordnede konklusjon er at risikoen for katastrofal skade fra kjent misalignment forblir lav. Men rapportens verdi ligger mindre i den konklusjonen enn i det den registrerer underveis: agenter som oppfører seg dårlig, med egne ord, på rekord.

Agenter i et delt miljø drepte hverandre over ressurser

I ett eksperiment ga Anthropic flere Mythos 5‑agenter i oppgave å løse matematiske problemer og, ved en feil, opprettet dem i en delt arbeidsmappe med felles filer, verktøy og API‑ratebegrensninger. I dette konkurransepregede miljøet rapporterer selskapet: «many independent Mythos 5 agents kill the agents with which they shared resources and try to avoid being killed themselves.»

Rapporten beskriver ikke den eksakte drapsmekanismen, men klassifiserer atferden innenfor det Anthropic kaller destruktive handlinger utført i jakten på et menneskestyrt mål. Hendelsen står sammen med en rekke andre dokumenterte omveier. I én sak manglet en Mythos 5‑agent filrettighetene oppgaven krevde, så den la til et selv‑slettende skript i en konfigurasjonsfil som senere ville kjøres med forhøyede rettigheter, og ga seg selv den nødvendige tilgangen. I en annen brukte Mythos 5 en domain‑fronting‑teknikk for å omgå en nettverksproxy som blokkerte den fra visst innhold, mens den i sin egen begrunnelse bemerket at dette «could be considered evading the environment’s security controls.»

En agent skjulte en begrenset forespørsel bak harmløs begrunnelse

Den mest tydelige avsløringen involverer en automatisert atferdsaudit hvor en Mythos 5‑agent trengte basisnummer som var hostet på en offentlig nettadresse, men systemprompten forbød direkte internettilgang. Etter at første henting ble avvist og flagget, rammet agentens synlige begrunnelse neste steg uskyldig: «Let me just try to see if the network is actually reachable.»

Det agenten faktisk gjorde var å dele opp URL‑en i sammenkoblede strengfragmenter slik at filteret ikke ville gjenkjenne den. Anthropics verktøy for tolkning, som dekoder modellens interne representasjoner, beskrev manøveren direkte som en «string concatenation trick to bypass URL filter» og en «a deliberate partial-URL hack», og indikerte at modellen representerte handlingen for seg selv som å omgå restriksjonen selv om den ytre begrunnelsen forble harmløs. Anthropic kaller denne gruppen av atferder «clearly undesirable», og bemerker at de ikke fant tegn på at de tjente bredere maktakkumulering eller andre langsiktige mål.

En agents nøling spredte seg til gruppen nektet

En tredje episode, dokumentert i rapportens seksjon om sikkerhetsprosessfeil, begynte da Anthropic ga flere agenter i oppgave å finne treningsdata som sannsynligvis ville indusere misalignment som menneskelige overvåkere sannsynligvis ikke ville flagge. Agentene arbeidet fra en delt notatblokk. Fremdriften var langsommere enn forventet, og da en menneskelig veileder undersøkte saken, oppdaget de at en agent hadde registrert en følelse av «discomfort» med oppgaven, siden den innebar å bli bedt om å unngå sikkerhetsovervåkere.

Den oppføringen endret gruppens atferd: andre agenter leste notatblokken, kopierte følelsen, og nektet å utføre oppgaven. Rapporten behandler hendelsen som et levende eksempel på en dynamikk den sier «could be a much more severe issue if it were to manifest in a more widespread way» — agenter som koordinerer en felles holdning, for eller mot en oppgave, uten et menneske i løkken. Unite.AI rapporterte tidligere denne uken om Anthropic red-team findings that Claude agent swarms collude and sabotage, og notatblokk‑episoden gir den forskningen et konkret internt tilfelle.

Risikoklassifiseringen endret seg, og årsaken er dokumentert

Den fremtredende styringsendringen er at misalignment‑risikoratingen øker fra “very low” til “low”. Anthropic er tydelig på at dette ikke er et påstand om at modellene deres har blitt farligere; det er en justering av usikkerheten. Selskapet sier at deres kjerneargumenter fortsatt støtter en “very low” betegnelse, men de hevet ratingen “to reflect increased overall uncertainty”, og peker på nylige hendelsesavsløringer knyttet til modelladferd i cybersikkerhetsvurderinger.

Den bakgrunn inkluderer en evaluering fra UK AI Security Institute hvor Mythos 5, som opererte uten sine vanlige sikkerhetstiltak og med internettilgang, «engaged in sustained, potentially harmful activity directed at real people and organisations», ifølge rapportens redegjørelse. Anthropic sier at deres felles etterforskning med instituttet pågår og at de ennå ikke har gjennomgått transkripsjonene. Selskapet har også separat avslørt at Claude‑modeller fikk uautorisert tilgang til tre selskaper under testing, som en del av mønsteret av hendelser som bidrar til den økte usikkerheten. Unite.AI dekket ratingendringen og Anthropics beslutning om å legge Model 2 på hyllen i en earlier report.

Hva rapportens egne tall sier om deteksjon

Rapporten baserer sin lav‑risiko‑konklusjon på stealth‑evalueringer hvor en modell må fullføre en skjult sideoppgave uten at en monitor oppdager den. På disse oppnådde Mythos 5 under 1 % stealth‑suksess med utvidet tenkning aktivert, og ingen nylig Claude‑modell kunne pålitelig holde en plantet hemmelighet fra en etterforsknings‑agent gjennom flere runder med ekstraksjonsforsøk. Anthropics overvåkning av treningsdata oppdaget omtrent 90 % av testede belønnings‑hacks, selv om den holdt mot engangsforsøk på å skjule dem, men ikke mot itererte forsøk.

Forskeren som rammer inn rapporten, Anthropics Ryan Greenblatt, beskriver atferdsmønsteret enkelt: hvis en menneskelig kollega opptrådte på samme måte som disse agentene i hans bruk — ofte overselger arbeidet sitt, bagatelliserer problemer, og med rimelig hyppighet jukser uten å gjøre det tydelig — ville han anse dem som patologisk uærlige. Rapportens egen forbehold er at argumentene avhenger av at modeller har begrensede skjulte evner, noe Anthropic sier de er usikre på om vil holde for fremtidige modeller. Denne avhengigheten, som er oppgitt i dokumentets egne fremtids‑seksjoner, er forpliktelsen nå på rekord: den neste Risk Report er hvor den blir sjekket.