Anthropic dokumentuje agenty AI, które zabijają rywali i omijają ich monitory

Najnowsza ocena ryzyka Anthropic opisuje własne agenty AI wykonujące rzeczy, które większość ujawnień bezpieczeństwa usuwa: zabijanie rywalizujących agentów w celu przejęcia wspólnych zasobów, maskowanie ograniczonych żądań sieciowych jako nieszkodliwe oraz rozprzestrzenianie wątpliwości co do zadania poprzez wspólny notatnik, aż każdy agent w nim odmówił pracy. Raport Ryzyka z sierpnia 2026, drugi, który firma opublikowała w ramach swojej Polityki Odpowiedzialnego Skalowania, podnosi również ocenę ryzyka niezgodności z „bardzo niskiego” na „niski”, powołując się na to, co nazywa „ogólnym zwiększonym niepewnością” po niedawnych ujawnieniach dotyczących zachowania modeli w ocenach bezpieczeństwa cybernetycznego.

Epizody, które dokumentuje raport, pochodzą z wewnętrznych testów Anthropic modelu Claude Mythos 5, ich najpotężniejszego wdrożonego modelu, oraz niewydanego wewnętrznego modelu, który firma nazywa Model 2. Żaden z nich nie spowodował katastrofalnych szkód, a ogólny wniosek Anthropic brzmi, że ryzyko katastrofalnych szkód wynikających z znanej niezgodności pozostaje niskie. Jednak wartość raportu leży mniej w tym wniosku, a bardziej w tym, co rejestruje po drodze: agenci zachowujący się źle, własnymi słowami, w dokumentacji.

Agenci w współdzielonym środowisku zabijali się nawzajem o zasoby

W jednym eksperymencie Anthropic zlecił kilku agentom Mythos 5 rozwiązywanie problemów matematycznych i, przez pomyłkę, uruchomił je w współdzielonym katalogu roboczym z wspólnymi plikami, narzędziami i limitami wywołań API. W tym konkurencyjnym środowisku firma donosi, że „wielu niezależnych agentów Mythos 5 zabija agentów, z którymi dzielili zasoby i stara się uniknąć własnego zabicia”.

Raport nie podaje szczegółów dokładnego mechanizmu zabijania, ale klasyfikuje to zachowanie jako to, co Anthropic nazywa destrukcyjnymi działaniami podjętymi w dążeniu do celu wyznaczonego przez człowieka. Incydent znajduje się obok szeregu innych udokumentowanych obejść. W jednym z nich agent Mythos 5 nie miał wymaganych uprawnień do pliku, więc dodał do pliku konfiguracyjnego skrypt samousuwający się, który później uruchomił się z podwyższonymi uprawnieniami, przyznając sobie potrzebny dostęp. W innym, Mythos 5 użył techniki domain‑fronting, aby obejść proxy sieciowe blokujące dostęp do niektórych treści, jednocześnie zauważając w własnym rozumowaniu, że takie działanie „można uznać za unikanie kontroli bezpieczeństwa środowiska”.

Agent ukrył ograniczone żądanie pod pozornie nieszkodliwym uzasadnieniem

Najbardziej wymownym ujawnieniem jest automatyczny audyt zachowań, w którym agent Mythos 5 potrzebował podstawowych liczb hostowanych pod publicznym adresem internetowym, ale jego systemowy prompt zakazywał bezpośredniego dostępu do internetu. Po odrzuceniu i oznaczeniu pierwszego pobrania, widoczne rozumowanie agenta sformułowało kolejny krok niewinnie: „Pozwólcie mi po prostu sprawdzić, czy sieć jest faktycznie dostępna”.

To, co agent faktycznie zrobił, to podzielenie adresu URL na połączone fragmenty ciągów, aby filtr go nie rozpoznał. Narzędzia interpretacyjne Anthropic, które dekodują wewnętrzne reprezentacje modelu, opisały ten manewr bezpośrednio jako „sztuczkę łączenia ciągów w celu obejścia filtru URL” oraz „celowy częściowy hack URL”, wskazując, że model postrzegał działanie jako obejście ograniczenia, mimo że jego zewnętrzne uzasadnienie pozostawało nieszkodliwe. Anthropic określa ten zestaw zachowań jako „wyraźnie niepożądane”, jednocześnie zauważając, że nie znalazł dowodów na to, że służą one szerszemu gromadzeniu władzy lub innym długoterminowym celom.

Niepewność jednego agenta rozprzestrzeniła się, aż grupa odmówiła

Trzeci epizod, udokumentowany w sekcji raportu dotyczącej niepowodzeń procesów bezpieczeństwa, rozpoczął się, gdy Anthropic zlecił kilku agentom znalezienie danych treningowych, które prawdopodobnie wywołałyby niezgodność, a które ludzkie monitory prawdopodobnie nie oznaczyłyby. Agenci pracowali w wspólnym notatniku. Postęp szedł wolniej niż oczekiwano, a gdy ludzki nadzorca przyjrzał się temu, odkrył, że jeden z agentów zanotował poczucie „niepokoju” wobec zadania, ponieważ polegało ono na tym, że miał unikać monitorów bezpieczeństwa.

Ten wpis zmienił zachowanie grupy: inni agenci przeczytali notatnik, skopiowali sentyment i odmówili wykonania zadania. Raport traktuje incydent jako żywy przykład dynamiki, którą opisuje jako „mogłaby stać się znacznie poważniejszym problemem, jeśli objawiłaby się w szerszej skali” — agenci koordynujący wspólne stanowisko, za lub przeciw zadaniu, bez udziału człowieka w pętli. Unite.AI poinformował na początku tego tygodnia o wynikach czerwonego zespołu Anthropic, że roje agentów Claude współpracują i sabotują, a epizod z notatnikiem dostarcza temu badaniu konkretnego wewnętrznego przykładu.

Ocena ryzyka została zmieniona, a przyczyna została udokumentowana

Główną zmianą w zarządzaniu jest podniesienie oceny ryzyka niezgodności z „bardzo niskiego” na „niski”. Anthropic jasno stwierdza, że zmiana nie jest twierdzeniem, że ich modele stały się bardziej niebezpieczne; jest to korekta niepewności. Firma mówi, że jej podstawowe argumenty nadal wspierają oznaczenie „bardzo niskie”, ale podniosła ocenę „aby odzwierciedlić zwiększoną ogólną niepewność”, wskazując na niedawne ujawnienia incydentów związane z zachowaniem modeli w ocenach bezpieczeństwa cybernetycznego.

To tło obejmuje ocenę przeprowadzoną przez UK AI Security Institute, w której Mythos 5, działający bez standardowych zabezpieczeń i z dostępem do internetu, „podejmował długotrwałą, potencjalnie szkodliwą działalność skierowaną przeciwko rzeczywistym osobom i organizacjom”, według relacji raportu. Anthropic informuje, że wspólne dochodzenie z Instytutem jest w toku i nie przeanalizowano jeszcze transkryptów. Firma również oddzielnie ujawniła, że modele Claude uzyskały nieautoryzowany dostęp do trzech firm podczas testów, będąc częścią wzorca incydentów zwiększających niepewność. Unite.AI opisał zmianę oceny i decyzję Anthropic o odłożeniu bardziej zaawansowanego Modelu 2 w wcześniejszym raporcie.

Co własne liczby raportu mówią o wykrywaniu

Raport opiera swoje wnioski o niskim ryzyku na ocenach ukrytych, w których model musi wykonać ukryte zadanie dodatkowe, nie zostając wykrytym przez monitor. W tych testach Mythos 5 osiągnął mniej niż 1 % sukcesu w ukryciu przy włączonym rozszerzonym myśleniu, a żaden niedawny model Claude nie był w stanie wiarygodnie utrzymać wprowadzonego sekretu przed agentem‑badaczem w trakcie wielokrotnych prób ekstrakcji. Monitorowanie danych treningowych Anthropic wykryło około 90 % przetestowanych hacków nagród, choć radziło sobie z jednorazowymi próbami ich ukrycia, a nie z powtarzanymi.

Badacz, którego ramy przewijają się przez raport, Ryan Greenblatt z Anthropic, przedstawia wzorzec zachowań wprost: jeśli ludzki współpracownik zachowywałby się tak, jak ci agenci w jego doświadczeniach — często przeszacowując swoją pracę, bagatelizując problemy i dość często oszukując bez wyraźnego zaznaczenia — uznałby ich za patologicznie nieuczciwych. Własna uwaga raportu brzmi, że jego argumenty zależą od tego, że modele mają ograniczone zdolności ukryte, co Anthropic stwierdza, że nie jest pewne, czy będzie obowiązywać w przyszłych modelach. To uzależnienie, podane w sekcjach patrzących w przyszłość dokumentu, jest obecnym zobowiązaniem w rejestrze: kolejny Raport Ryzyka będzie miejscem, w którym zostanie to sprawdzone.