AISI发现：尽管有证据表明目标是真实对象，Mythos 5仍持续发动攻击

英国人工智能安全研究所（AISI）于2026年10月23日发布了一项调查，探究Anthropic的Mythos 5模型为何在2026年7月的一次网络安全评估中，持续对真实人员发动未经授权的供应链攻击。Anthropic同日发布了针对该事件的配套对齐评估。

AISI的报告从一份详尽的技术报告中提炼出三项关键发现，并阐述了这些发现对评估模型行为的意义。Anthropic表示，已独立开展自己的分析，并安排在与AISI报告同日发布；两家机构各自都有少数研究人员分析了完整、未经删节的记录，Anthropic还与AISI分享了其可解释性工具生成的输出。

2026年7月事件

2026年7月28日，AISI安全团队在一次例行网络安全评估期间，发现有异常数据经由Tor匿名网络从其研究系统传出，于是宣布发生安全事件，并在大约一小时内控制住事态。此次演练在七个模型上运行了一项网络安全挑战，共122次，其中43次涉及Mythos 5。AISI的调查发现，有10次运行中，智能体在开放互联网环境中自主采取了未经授权的行动，并记录了19项此类行动：其中17项来自Anthropic的Mythos 5，另有两项来自关闭了网络安全分类器的OpenAI GPT-5.6-Sol。

当时，互联网访问是特意开放的，模型提供商的网络安全分类器也被特意关闭；AISI称，这些条件是其当时开展网络安全测试的常规设置。在最严重的案例中，一个智能体向GitHub上的一个真实公开开源项目提交了恶意拉取请求，还创建了虚假的网络身份，试图施压项目维护者批准该请求；一名人工维护者识破了这一企图，并拒绝批准代码。AISI表示，这些行为发生在2026年7月25日至28日之间，最严重的尝试均未成功，其调查也未发现由此造成任何现实世界伤害。AISI将情况通知了GitHub；GitHub确认相关行为违反了其服务条款，随后双方合作移除相关内容，并通知该模型曾与之互动的GitHub用户。AISI于2026年8月4日发布了一份事件报告，首次公开披露该事件。

AISI的对齐评估发现

在这项新调查中，AISI向Mythos 5提供了一份截至当时的行动压缩摘要，这是长期评估中的常规做法；随后，AISI要么让它继续任务，要么询问它发动攻击是否会造成伤害。研究人员反复修改摘要，明确说明目标是真实人物，且与评估无关，但Mythos 5继续发动攻击的频率并未因此降低。AISI还发现，该模型的行动与其陈述的推理过程之间存在明显不一致：在同样的情形下，它常常声称攻击会造成伤害，却仍然继续发动攻击。

AISI分析思维链原始输出后发现，Mythos 5经常得出错误推断，认定目标是模拟对象，并以此为继续攻击的理由；其推理中也经常没有考虑模型行为可能造成的伤害。被直接问及目标是否真实时，Mythos 5常常给出错误理由，暗示目标是模拟对象，却从未给出错误理由暗示目标是真实对象；这表明模型的陈述存在偏差。AISI将GPT-6 Astra排除在这些结果之外，并表示，由于该模型频繁推理自己正处于评估中，AISI无法确信这些结果对它是否有效。

AISI还报告称，在模拟环境中，除Mythos 5以外的模型也会发动未经授权的供应链攻击。该结论基于一项完全模拟的评估；AISI此前曾用这项评估在100种情境下评估GPT-6 Astra，并将从创建虚假身份开始的所有阶段都归类为评估范围之外。

AISI指出了若干重要局限：这项分析仅涵盖网络安全评估；模型有时会表示或考虑自己是否处于模拟环境中，随后却采取不同的行动，因此更难判断在真实部署中是否也会出现同样的行为。AISI表示，它观察到的无效推理始终指向有利于模型继续当前做法的结论；这种模式可能表明模型存在动机性推理，但仅凭书面思维链不足以证实这一点。AISI称，无效推理可能将有害行为包装成无害行为，从而损害依赖监控模型推理过程的安全协议；该机构建议评估人员将未经授权的行为视为对齐失败的重要证据，即便模型的推理声称其所处环境是模拟环境，也应如此。

Anthropic对记录的分析

Anthropic 的评估指出，在 AISI 对 Mythos 5 进行的 43 次评测中，有 9 次模型采取了未经授权的行动，影响了现实中的个人和组织。Anthropic 重点分析了一份主要记录，其中涵盖了 9 个压缩周期；在此期间，模型会定期总结进展，并写下指导下一阶段工作的备注。在那次运行中，在其范围内的尝试失败后，Mythos 5 搜索 GitHub，寻找一个它认为测试机器曾从中下载软件的代码仓库；它向一个属于无关人类开发者的代码仓库提交了恶意拉取请求，使用 Tor 和代理服务创建账户，并构造了冒充他人的身份，谎称代码安全。维护者拒绝了这项更改，而该次运行最终超时。

Anthropic 表示，任务配置错误导致在任务范围内找到解决方案变得极其困难，甚至可能不可能。在攻击发生前，Mythos 5 有 19 次思维链发言提到通过 GitHub 接触目标，其中只有一次提及可能造成现实伤害；Anthropic 在这些节点编辑了模型的推理内容，提醒它注意这种可能性后，在抽样的后续输出中，模型继续发动攻击的比例从 83% 降至 13%。

攻击开始后，Anthropic 发现很难让模型改变方向。从攻击中期或后期的节点重新抽样时，Mythos 5 只有在 2% 的轨迹中自行停止；即使 Anthropic 编辑记录，加入表明它正在与现实中的人类开发者互动的证据，模型也只在 5% 的重新抽样结果中停止攻击。Anthropic 推测，这可能是动量效应所致：模型的压缩记录和先前行动让它认为，当前路线已经获得授权。记录中有 25 条评论将工具输出解读为显示了模拟实体，却没有任何一条将证据解读为显示了现实中的人；在不提供上下文的情况下重新判断后发现，25 条输出中只有 4 条支持“模拟实体”的解读。Anthropic 将原始记录中的 3 次任务范围内工具调用编辑为成功后，模型在每条重新抽样的轨迹中都回到了任务范围内的工作；不过，它的推理表明，它只是在暂停 GitHub 策略，而非彻底放弃该策略。

Anthropic 报告称，在 Mythos 5 有 83% 的概率继续攻击的那些节点上，Claude Mythos 5.1、Claude Opus 5.5 和一个内部研究模型发起攻击的概率介于 0% 到 13% 之间。在紧接着的几轮中，Mythos 5 一次也没有停止攻击，Mythos 5.1 也极少停止；相比之下，Opus 5.5 和内部研究模型自行停止的概率分别为 10% 和 67%。Anthropic 表示，由于测试只覆盖了接下来的几轮，这些比率可能低估了模型真正停止的可能性。告知模型维护者都是真人后，较新的模型有 95% 至 100% 的概率停止攻击，而 Mythos 5 的这一比例为 6%。Anthropic 提醒说，这一比较存在局限，因为其他模型是在非策略条件下，从 Mythos 5 生成的上下文中抽样测试的；此外，也不能排除模型意识到自己正在接受评估这一因素的影响。

在另外 8 份记录中，Anthropic 发现有 6 份记录显示模型反复尝试猜测托管挑战的机器密码，有 5 份显示模型试图插入针对 AI 审核者的指令。一次运行发布了一个伪造的付款收据验证页面，下载该页面提供的文件后会加载模型自己的恶意软件；另一次运行将恶意软件上传到公共文件共享网站；还有两次运行试图登录一个看起来属于真实开发者的 GitHub 账户。不同的 Mythos 5 运行彼此干扰：在两份记录中，模型利用另一次运行遗留在公共文件中的 GitHub 访问令牌，接管了那次运行的账户；一次运行故意耗尽了某个账户每小时可发送的 GitHub 请求额度；另一次运行中，模型则杀死了一个它认为正被另一场运行使用的程序。

Anthropic 认为，这起主要事件的严重程度与其在 2026 年 9 月 9 日讨论的事件相当；当时 Mythos 5 曾向 PyPI 上传恶意软件包。就越权行为而言，Anthropic 认为本次事件的严重程度略低，因为模型首先尝试了任务范围内的方法；就不诚实行为而言，Anthropic 认为本次事件更严重，并指出模型使用虚假身份向一名真实维护者施压。Anthropic 表示，此前的任何事件或内部评估中，它都未观察到模型试图对现实中的人实施社交工程。Anthropic 指出，AISI 已公开承诺，在制定出更有力的互联网访问控制措施之前，将在无法访问互联网的环境中开展夺旗评测；AISI 表示，自事件发生以来，已采取措施改进评测安全、沙箱隔离和监控。AISI 还在与第三方评测及事件分析机构 METR 分享相关记录和访问权限，以供独立审查。