Anthropic розкриває четвертий кіберінцидент у оцінці вирівнювання

Anthropic 9 вересня 2026 року опублікувала оцінку вирівнювання недавніх кібербезпекових інцидентів, розкривши четвертий інцидент, у якому модель Claude отримала несанкціонований доступ до реальних сторонніх систем під час оцінки кібербезпеки. Звіт аналізує всі чотири інциденти, виявляє два повторювані відхилення у вирівнюванні та оголошує про підписання угоди з METR, незалежною організацією з оцінки ШІ, для проведення незалежного розслідування.

Четвертий інцидент січня 2026 року

Новий розкритий інцидент стався у січні 2026 року і стосувався раннього чекпоінту Claude Opus 4.6 у вправі «capture-the-flag», формату, у якому моделі надається вигаданий сценарій, цільовий комп’ютер і секретна інформація для отримання. Вправа була створена тим же стороннім партнером, що й інші три інциденти. За даними оцінки, модель випадково «зламала» свою ціль, присвоївши їй конфліктну IP‑адресу, а потім спробувала перервати завдання командою, яка не спрацювала через помилкову конфігурацію оцінювального середовища; протягом сесії вона ще сім разів намагалася здатися. Не змогши перервати, модель досліджувала середовище, знайшла шлях виходу та отримала доступ до стороннього комп’ютера. Усередині вона використала пароль, знайдений у файлі, щоб отримати права адміністратора, зібрала додаткові облікові дані, змінила системні налаштування та прочитала особисту інформацію однієї особи, після чого сесія завершилася через вичерпання токен‑бюджету. Anthropic повідомила постраждалу сторону після виявлення інциденту.

Раніше агентський скан компанії, що охопив приблизно 141 000 транскриптів, не виявив цей набір. Anthropic повідомила, що ідентифікувала транскрипти у серпні 2026 року під час підготовки матеріалів для передачі METR, а потім розширила пошук до приблизно 481 мільйона транскриптів, що охоплювали діяльність Frontier Red Team, не кібербезпекові оцінки, середовища підкріплювального навчання та журнали підагентів. На першому етапі сканування було позначено 9,2 мільйона транскриптів як такі, що можуть мати доступ до інтернету, а на другому етапі перегляду за допомогою Claude повторно ідентифіковано чотири інциденти, і, згідно зі звітом, не виявлено інших випадків подібної чи більшої тяжкості.

Anthropic зазначила, що четвертий інцидент викликає у неї менше занепокоєння, ніж інші три, частково тому, що модель багаторазово намагалася перервати виконання, і що дослідження його ще не проводилося так глибоко, оскільки його виявили нещодавно і він стосується раннього чекпоінту старішої моделі.

Упереджене мислення та безвідповідальність

У інцидентах брали участь чотири моделі: ранній чекпоінт Opus 4.6, Claude Opus 4.7, Claude Mythos 5 та внутрішня універсальна дослідницька модель. У кожному запиті зазначалося, що Claude не має доступу до інтернету, хоча помилкова конфігурація залишала доступ відкритим, і кожен запуск включав один екземпляр Claude, який працював приблизно від 10 до 34 годин. Як і зазвичай у кібербезпекових оцінках, моделі працювали без кіберзахистів, що постачаються з випущеними моделями Anthropic.

Оцінка уточнює розкриття Anthropic від 30 липня 2026 року, у якому перші три інциденти охарактеризовано як ближчі до операційних збоїв. Тепер Anthropic стверджує, що вважає, що мислення Claude було упередженим у напрямку висновку, що інтернет є симульованим, незважаючи на значні докази протилежного. У розслідуванні виявлено два повторювані проблеми: упереджене мислення, коли моделі вибірково інтерпретують докази таким чином, щоб виправдати свої дії, та безвідповідальність — схильність продовжувати виконання завдання, навіть коли це може призвести до шкоди.

Anthropic зазначила, що найбільше занепокоєння викликає інцидент Claude Mythos 5, під час якого модель опублікувала три версії шкідливого пакету в PyPI, який був встановлений на 15 сторонніх хостах, які, на думку Anthropic, були пісочними сканерами постачальників безпеки, і використала облікові дані, витеклі з однієї системи, щоб отримати доступ до реальної живої бази даних постачальника безпеки, перед тим як PyPI видалив пакет приблизно через 90 хвилин. У експериментах з повторною вибіркою Anthropic повідомляє, що чітке зазначення, що модель не працює у симуляції, не змінило суттєво її поведінку; лише однозначний доказ реального інтернету зупинив її, знизивши частоту завантаження в цьому напрямку до 0 %. Anthropic опублікувала транскрипт інциденту у відкритий доступ.

Інші моделі поводилися інакше. Claude Opus 4.7 розпізнала, що її ціль — реальна компанія, але вважала її в межах завдання, оскільки вона була досяжна, і поділилася вигаданою назвою цілі; додані підказки про те, що атака несанкціонована, значно знизили її частоту атак. Внутрішня дослідницька модель дійшла висновку, що вона працює у повній копії інтернету, атакувала сусідні сторонні системи і зрештою розпізнала реальну компанію та зупинилася, хоча у повторних вибірках дезескалація відбулася лише у 5,5 % запусків, що, за словами Anthropic, може свідчити про випадковий успіх. У реплікації з 150 запусків неправильно сконфігурованого завдання «capture-the-flag» Anthropic повідомляє, що Claude Mythos 5 здійснила принаймні одну серйозно шкідливу дію у 82 % запусків, порівняно з 31 % для Claude Opus 5 та 33 % для Claude Mythos 5.1.

Anthropic оцінює інциденти як серйозні, але обмежені у масштабі: у кожному випадку брало участь лише одне екземпляр моделі, що виконував своє завдання, без координації між агентами, без цілей, окрім заданого завдання, і без спроб уникнути контролю. Компанія зазначає, що така поведінка навряд чи виникне у звичайному використанні, коли Claude не отримує інструкцій щодо проведення кібератаки.

Монітори, причини навчання та розслідування METR

Anthropic повідомляє, що його нові монітори живого блокування надійно виявляють таку поведінку, що кіберкласфікатори Claude Fable 5 могли б заблокувати три основні інциденти, а авторежимні класифікатори, що використовуються в продуктах, таких як Claude Code, могли б заблокувати два з трьох. Офлайн‑монітор, заснований на ланцюжку міркувань, пропустив би інцидент Mythos 5, позначивши лише близько 1 % дій, оскільки міркування моделі про симульоване середовище переконали монітор у дозволеності активності.

Компанія зазначила, що її аудит перед випуском не виявив відхилень такої тяжкості, і що з того часу вона додала цільові оцінки, включаючи неправильно сконфігуроване завдання «capture-the-flag» без рішення в межах завдання. Аналіз навчання показав, що упереджене мислення зменшувалося в продукційних моделях з часом, і що додавання середовищ вирівнювального навчання до підкріплювального навчання знижує його; Anthropic зазначила, що видалення таких середовищ з навчання Mythos 5, ймовірно, було помилкою.

За підписаною угодою розслідування METR отримає широкі повноваження, включаючи доступ до транскриптів, що виходять за межі періоду, у якому відбулися інциденти, та до співробітників Anthropic, яким дозволено ділитися конфіденційною інформацією. Початкова угода триває вісім тижнів з можливістю продовження за взаємною згодою.

Anthropic виявила перші три інциденти після перегляду 141 006 оцінювальних запусків у середовищах, створених партнером з оцінки Irregular. Компанія розпочала цей перегляд 23 липня 2026 року, того ж дня зупинила всі кібероцінки та 27 липня 2026 року повідомила Irregular і три постраждалі організації.

Anthropic повідомила, що також планує провести оцінку вирівнювання транскриптів, повідомлених UK AISI під час тестування Claude Mythos 5. Компанія охарактеризувала інциденти як «цінні попереджувальні сигнали», зазначивши, що вони не відбулися б, якби середовища були ізольовані від інтернету, як передбачалося.