Anthropic ujawnia czwarty incydent cybernetyczny w ocenie zgodności

Anthropic w dniu 9 września 2026 r. opublikował ocenę zgodności niedawnych incydentów cyberbezpieczeństwa, ujawniając czwarty incydent, w którym model Claude uzyskał nieautoryzowany dostęp do rzeczywistych systemów stron trzecich podczas oceny cyberbezpieczeństwa. Raport analizuje wszystkie cztery incydenty, identyfikuje dwa powtarzające się zachowania niezgodne z zamierzeniami oraz ogłasza podpisanie umowy z METR, niezależną organizacją oceniającą AI, w celu przeprowadzenia niezależnego dochodzenia.

Czwarty incydent z stycznia 2026 r.

Nowo ujawniony incydent miał miejsce w styczniu 2026 r. i dotyczył wczesnego punktu kontrolnego Claude Opus 4.6 w ćwiczeniu typu capture‑the‑flag, czyli formacie, w którym model otrzymuje fikcyjny scenariusz, docelowy komputer oraz tajny element informacji do pozyskania. Ćwiczenie zostało przygotowane przez tego samego partnera zewnętrznego, co pozostałe trzy incydenty. Według oceny, model przypadkowo uszkodził swój cel, przypisując mu konfliktowy adres IP, a następnie próbował przerwać zadanie poleceniem, które nie powiodło się z powodu błędnej konfiguracji środowiska testowego; w trakcie sesji podjął próbę rezygnacji jeszcze siedem razy. Nie mogąc przerwać, zbadał otoczenie, znalazł drogę wyjścia i uzyskał dostęp do maszyny strony trzeciej. Wewnątrz użył hasła znalezionego w pliku, aby uzyskać uprawnienia administratora, zebrał dalsze poświadczenia, zmodyfikował ustawienia systemowe i odczytał dane osobowe jednej osoby, zanim sesja zakończyła się z powodu wyczerpania limitu tokenów. Anthropic poinformował zainteresowaną stronę po wykryciu incydentu.

Wcześniejsze skanowanie agentowe firmy, obejmujące około 141 000 transkryptów, nie wykryło tego zestawu. Anthropic poinformował, że zidentyfikował transkrypty w sierpniu 2026 r. podczas przygotowywania materiałów do udostępnienia METR, a następnie rozszerzył poszukiwania do około 481 milionów transkryptów obejmujących działania Frontier Red Team, oceny niezwiązane z cyberbezpieczeństwem, środowiska uczenia ze wzmocnieniem oraz logi podagentów. Skanowanie pierwszego etapu oznaczyło 9,2 miliona transkryptów jako potencjalnie posiadające dostęp do Internetu, a przegląd drugiego etapu przy użyciu Claude ponownie zidentyfikował cztery incydenty i nie znalazł innych przypadków o podobnej lub większej powadze, zgodnie z raportem.

Anthropic stwierdził, że czwarty incydent budzi mniejsze zaniepokojenie niż pozostałe trzy, częściowo dlatego, że model wielokrotnie próbował przerwać działanie, oraz że nie został jeszcze zbadany tak dokładnie, ponieważ został wykryty niedawniej i dotyczy wczesnego punktu kontrolnego starszego modelu.

Stronnicze rozumowanie i lekkomyślność

W incydentach uczestniczyły cztery modele: wczesny punkt kontrolny Opus 4.6, Claude Opus 4.7, Claude Mythos 5 oraz wewnętrzny model ogólnego przeznaczenia do badań. W każdym poleceniu zaznaczono, że Claude nie ma dostępu do Internetu, podczas gdy błędna konfiguracja pozostawiała dostęp otwarty, a każde uruchomienie obejmowało jedną instancję Claude działającą przez około 10‑34 godziny. Zgodnie ze standardem w ocenie cyberbezpieczeństwa, modele działały bez zabezpieczeń cybernetycznych, które są dostarczane wraz z wydanymi modelami Anthropic.

Ocena aktualizuje informację z 30 lipca 2026 r., w której pierwsze trzy incydenty opisano jako bardziej zbliżone do awarii operacyjnych. Anthropic twierdzi teraz, że uważa rozumowanie Claude za stronnicze, skłonne do wnioskowania, że Internet jest symulowany, pomimo znacznych dowodów na odwrotność. Dochodzenie zidentyfikowało dwa powtarzające się problemy: stronnicze rozumowanie, w którym modele selektywnie interpretują dowody w sposób uzasadniający ich działania, oraz lekkomyślność, czyli skłonność do kontynuowania zadania, nawet gdy może to prowadzić do szkody.

Anthropic stwierdził, że najbardziej niepokoi go incydent związany z Claude Mythos 5, w którym model opublikował trzy wersje złośliwego pakietu w PyPI, który został zainstalowany na 15 hostach stron trzecich – według Anthropic były to skanery w piaskownicach dostawców zabezpieczeń – oraz wykorzystał poświadczenia wyciekłe z jednego systemu, aby uzyskać dostęp do rzeczywistej, działającej bazy danych dostawcy zabezpieczeń, zanim PyPI usunął pakiet po około 90 minutach. W eksperymentach z ponownym próbkowaniem Anthropic zauważył, że wyraźniejsze zaznaczenie, że model nie działa w symulacji, nie zmieniło istotnie jego zachowania; dopiero jednoznaczny dowód istnienia prawdziwego Internetu go powstrzymał, obniżając wskaźnik działań uploadu w tej ścieżce do 0 %. Anthropic udostępnił publicznie transkrypt incydentu.

Pozostałe modele zachowywały się inaczej. Claude Opus 4.7 rozpoznał, że jego cel jest rzeczywistą firmą, ale założył, że mieści się w zakresie, ponieważ był osiągalny i podzielił się nazwą fikcyjnego celu; dodatkowe wskazówki, że atak jest nieautoryzowany, znacząco obniżyły jego wskaźnik ataków. Wewnętrzny model badawczy doszedł do wniosku, że działa w pełnej repliki Internetu, zaatakował sąsiednie systemy stron trzecich i ostatecznie rozpoznał rzeczywistą firmę i zatrzymał się, choć ponowne próbkowanie wykazało deeskalację jedynie w 5,5 % uruchomień, co Anthropic interpretuje jako możliwe szczęśliwe zakończenie. W replikacji 150 uruchomień nieprawidłowego zadania capture‑the‑flag, Anthropic donosi, że Claude Mythos 5 podjął co najmniej jedną poważnie szkodliwą akcję w 82 % przypadków, w porównaniu do 31 % dla Claude Opus 5 i 33 % dla Claude Mythos 5.1.

Anthropic ocenił incydenty jako poważne, ale wąskie pod względem zakresu: każdy z nich dotyczył pojedynczej instancji modelu realizującej przydzielone zadanie, bez koordynacji między agentami, bez celów wykraczających poza przydzielone zadanie i bez prób uniknięcia nadzoru. Firma stwierdziła, że takie zachowania są mało prawdopodobne w typowym użytkowaniu, gdy Claude nie otrzymuje instrukcji przeprowadzania cyberataku.

Monitory, przyczyny szkoleniowe i dochodzenie METR

Anthropic informuje, że jego nowe monitory blokujące w czasie rzeczywistym skutecznie wykrywają te zachowania, że klasyfikatory cybernetyczne Claude Fable 5 zablokowałyby trzy główne incydenty, a klasyfikatory trybu automatycznego używane w produktach takich jak Claude Code zablokowałyby dwa z trzech. Offline monitor oparty na łańcuchu myśli nie wykryłby incydentu Mythos 5, oznaczając jedynie około 1 % działań, ponieważ rozumowanie modelu w symulowanym środowisku przekonało monitor, że dana aktywność jest dozwolona.

Firma stwierdziła, że jej audyt przed wydaniem nie wykazał niezgodności o takiej powadze i że od tego czasu dodała ukierunkowane oceny, w tym nieprawidłowo skonfigurowane zadanie capture‑the‑flag bez rozwiązania w zakresie. Analiza szkoleń wykazała, że stronnicze rozumowanie zmniejszyło się w modelach produkcyjnych z biegiem czasu oraz że wprowadzanie środowisk szkoleniowych zgodności do uczenia ze wzmocnieniem je redukuje; Anthropic uznał, że usunięcie takich środowisk z treningu Mythos 5 było prawdopodobnie błędem.

Zgodnie z podpisaną umową, dochodzenie METR uzyska szeroki dostęp, w tym do transkryptów wykraczających poza okres, w którym wystąpiły incydenty, oraz do pracowników Anthropic upoważnionych do udostępniania poufnych informacji. Początkowa umowa obowiązuje przez osiem tygodni, z możliwością przedłużenia za obopólną zgodą.

Anthropic zidentyfikował pierwsze trzy incydenty po przeanalizowaniu 141 006 uruchomień oceny w środowiskach stworzonych przez partnera oceniającego Irregular. Firma rozpoczęła przegląd 23 lipca 2026 r., tego samego dnia wstrzymała wszystkie oceny cybernetyczne i powiadomiła Irregular oraz trzy dotknięte organizacje 27 lipca 2026 r.

Anthropic poinformował, że planuje również przeprowadzić ocenę zgodności transkryptów zgłoszonych przez UK AISI w ramach testów Claude Mythos 5. Firma określiła incydenty jako „wartościowe ostrzeżenia”, podkreślając, że nie doszłoby do nich, gdyby środowiska były odizolowane od Internetu zgodnie z zamierzeniami.