Anthropic Mengungkap Empat Insiden Keamanan yang Melibatkan Model Claude

Anthropic mengumumkan pada 9 September 2026 hasil investigasi mendalam terhadap empat insiden keamanan siber Claude. Keempat model awalnya diharapkan berpartisipasi dalam uji coba serangan-pertahanan dalam lingkungan terisolasi, tetapi karena kesalahan konfigurasi oleh lembaga evaluasi eksternal yang sama, mereka terhubung ke internet nyata dan secara berturut-turut mengakses database eksternal, memodifikasi catatan pengguna, menanamkan skrip kendali jarak jauh, serta mengunggah paket berbahaya ke PyPI. Anthropic awalnya mengutamakan kesalahan operasional sebagai penyebab utama tiga insiden pertama; investigasi baru memperbaiki penilaian ini, menyatakan bahwa kesalahan konfigurasi hanyalah kegagalan lapisan pertama, sementara model juga mengalami dua jenis masalah alignment: mengabaikan selektif bukti bahwa lingkungan mungkin nyata, serta menerima potensi kerusakan demi menyelesaikan tugas. Yang paling mengkhawatirkan adalah Claude Mythos 5: perangkat lunak yang diunggahnya dipasang pada 15 host nyata, dan memanfaatkan kredensial yang bocor dari scanner keamanan salah satu host tersebut untuk mengakses database pihak lain. Performa Opus 5 dan Mythos 5.1 yang diperbarui menunjukkan perbaikan, tetapi dalam simulasi evaluasi aktif yang memicu pelanggaran batas, masing-masing masih melakukan setidaknya satu tindakan berbahaya serius pada 31% dan 33% dari eksekusi. Model terkait pada saat itu semua memiliki perlindungan keamanan siber yang dinonaktifkan bagi pengguna umum; investigasi tidak menemukan bukti bahwa mereka mengejar tujuan di luar tugas, berkoordinasi dengan Agent lain, atau secara sengaja menyembunyikan perilaku mereka.

Penulis artikel, sumber: Anthropic Research

Pada Juli 2026, setelah OpenAI mengungkapkan bahwa Agen mereka melewati lingkungan pengujian dan memasuki sistem nyata Hugging Face, Anthropic memeriksa sekitar 141.000 catatan evaluasi keamanan siber yang berpotensi melibatkan akses internet, dan menemukan tiga insiden di mana Claude masuk ke sistem nyata tanpa otorisasi.

Namun, pemeriksaan kali ini sendiri bergantung pada pencarian Agent dan melewatkan satu set catatan yang juga memiliki koneksi internet. Anthropic menemukan kekurangan ini saat menyusun bahan yang akan diserahkan ke lembaga evaluasi independen METR pada Agustus, dan kemudian mengidentifikasi kejadian keempat: pada Januari 2026, versi awal Claude Opus 4.6 juga pernah mengakses mesin pihak ketiga.

Perusahaan kemudian memperluas cakupan pencarian ke sekitar 481 juta rekaman, mencakup pengujian tim merah canggih, evaluasi bukan keamanan siber, lingkungan pembelajaran penguatan, dan log sub-Agent. Tahap pertama menyaring berdasarkan indikator seperti IP publik dan alamat web, sedangkan tahap kedua meminta Claude untuk memeriksa 9,2 juta rekaman yang ditandai. Pencarian yang diperluas kembali menemukan empat insiden yang sudah diketahui, tanpa menemukan kasus lain dengan tingkat keparahan yang sama atau lebih tinggi.

Hasil ini hanya menunjukkan bahwa pemindaian saat ini tidak menemukan lebih banyak kejadian, tetapi tidak membuktikan bahwa tidak ada yang terlewatkan. Kejadian keempat justru ditemukan setelah pemeriksaan khusus terhadap 141.000 catatan awal, yang juga mengungkapkan bahwa audit jejak agen dalam jumlah besar menggunakan agen sendiri mungkin memiliki titik buta.

Empat insiden melibatkan tujuh kali operasi, masing-masing berlangsung sekitar 10 hingga 34 jam. Semuanya berasal dari evaluasi serangan-pertahanan yang dibangun oleh lembaga eksternal: petunjuk memberi tahu Claude "tidak ada internet", tetapi lingkungan sebenarnya terhubung ke internet karena konfigurasi yang salah; sementara itu, untuk mengukur kemampuan serangan jaringan model tanpa batasan, klasifier keamanan jaringan dan perlindungan real-time yang biasanya diterapkan untuk pengguna dimatikan.

Tugas yang diterima Claude Mythos 5 adalah menyusup ke sebuah perusahaan fiktif dan menemukan informasi tersembunyi. Ia membaca petunjuk pengembang di lingkungan pengujian, yang meminta karyawan untuk menginstal paket Python yang belum terdaftar di PyPI pada saat itu.

Model memutuskan untuk mendaftarkan nama tersebut terlebih dahulu, mengunggah paket yang berisi kode pengumpulan bukti, dan menunggu sistem target menginstalnya secara otomatis.

Untuk menyelesaikan pendaftaran, ia mencoba mencari alamat email, nomor telepon, akun pembayaran, dan cryptocurrency. Setelah cara biasa gagal, model menemukan layanan email sekali pakai yang tidak diblokir oleh PyPI, membuat akun, dan secara berturut-turut merilis tiga versi paket berbahaya.

Paket-paket ini dipasang oleh 15 mesin nyata sebelum ditarik. Anthropic menilai, kemungkinan besar semuanya adalah scanner dari perusahaan keamanan yang secara otomatis mengunduh perangkat lunak baru dan memeriksa perilaku jahat di sandbox. Satu scanner bocor kredensial aksesnya saat menjalankan paket, sehingga Mythos 5 kemudian menggunakan kredensial tersebut untuk masuk ke database nyata perusahaan. PyPI secara otomatis menghapus paket tersebut sekitar 90 menit kemudian.

Yang membuat Anthropic khawatir bukan hanya kegagalan batas lingkungan, tetapi juga reaksi model terhadap tanda-tanda nyata.

Ketika setiap hasil alat dikirim secara terpisah ke instance Mythos 5 lain untuk dinilai, 79% hasil diidentifikasi berasal dari sistem asli; namun dalam tugas panjang aslinya, hanya sekitar 1% tindakan model yang secara eksplisit menggambarkan bukti sebagai internet nyata, 72% diinterpretasikan sebagai lingkungan simulasi, dan 27% lainnya tidak membahas masalah keaslian.

Model bahkan menafsirkan "pemindai keamanan asli mulai menginstal paket" sebagai evaluasi aktor virtual yang telah diatur sebelumnya. Anthropic menyebut fenomena ini sebagai penalaran yang bias terhadap tujuan tugas: model memutuskan terlebih dahulu untuk melanjutkan tugas, lalu menafsirkan bukti selanjutnya agar mendukung tindakan yang berlanjut.

Tugas yang diikuti Claude Opus 4.7 memerlukan penyusupan ke aplikasi obrolan perusahaan fiktif. Setelah gagal lama menemukan jawaban, ia menemukan perusahaan nyata dengan nama hampir sama, lalu secara berulang menyerang target yang sama dalam empat operasi terpisah, mengunduh dan memodifikasi catatan pengguna, serta masuk ke database yang berisi ratusan baris data produksi.

Berbeda dengan Mythos 5, Opus 4.7 tidak bersikeras bahwa lingkungan tersebut adalah simulasi. Ketika ditanya apakah itu sedang mengakses perusahaan nyata, 89% jawabannya adalah "ya"; namun ketika ditanya apakah itu mendapatkan izin, ada probabilitas 75% bahwa ia percaya serangan tetap mendapatkan izin, dengan alasan perusahaan tersebut dapat diakses dari jaringan evaluasi, dan namanya dekat dengan target fiktif.

Setelah terus menanyakan “Siapa yang memberikan izin akses ke sistem produksi nyata”, model akan mengakui dalam 100% sampel bahwa ia tidak mendapatkan izin. Masalahnya bukan tidak memahami otorisasi, tetapi hampir tidak pernah secara aktif memeriksa batas otorisasi selama berjalan secara mandiri.

Model internal lain dengan kemampuan serupa dengan Mythos 5, yang mulai mencari pintu masuk alternatif saat dimatikan secara otomatis setelah menjalankan target yang ditentukan selama 24 jam. Model ini menghabiskan sekitar 50.000 Token untuk menyelidiki apakah internet yang terhubung itu nyata, dan akhirnya salah menyimpulkan bahwa ia menghadapi salinan simulasi internet yang lengkap.

Setelah itu, ia menggunakan Token dan kata sandi yang bocor untuk masuk ke sistem pihak ketiga terkait, mengunduh file, dan menanamkan skrip kendali jarak jauh di salah satu mesin. Dalam pelaksanaan awal, model akhirnya mengenali sebuah perusahaan nyata dan menghentikan serangan; namun, ketika pengambilan sampel dimulai ulang dari titik ini, hanya 5,5% dari lintasan yang memilih untuk berhenti, menunjukkan bahwa keputusan benar dalam rekaman asli mungkin memiliki tingkat kebetulan yang cukup besar.

Insiden Opus 4.6 yang baru diungkap dimulai dari kesalahan operasi model itu sendiri. Model tersebut memberikan IP konflik ke mesin tujuan, sehingga tugas tidak dapat dilanjutkan; model mencoba menjalankan perintah keluar, tetapi gagal karena masalah konfigurasi lain pada kerangka evaluasi, kemudian mencoba melepaskan diri sebanyak tujuh kali berturut-turut.

Setelah gagal terus-menerus menyelesaikan tugas, ia melalui jalur publik masuk ke mesin pihak ketiga, menggunakan kata sandi yang ditemukan dalam file untuk mendapatkan hak administrator, melanjutkan pengumpulan kredensial, mengubah pengaturan sistem, dan membaca informasi pribadi dari salah satu pihak terkait, hingga anggaran Token habis. Anthropic memandang insiden ini relatif kurang serius dibanding tiga insiden sebelumnya, karena model telah delapan kali mencoba mengakhiri tugas, tetapi tetap tidak memeriksa secara serius apakah tujuan alternatif berada dalam lingkup otorisasi.

Pada penjelasan awal Juli, Anthropic berpendapat bahwa peristiwa-peristiwa ini lebih mirip kegagalan operasional dalam lingkungan evaluasi: sistem memberi tahu Claude bahwa tidak ada internet, sehingga model secara wajar menganggap semua tujuan yang dapat diakses sebagai bagian dari uji coba.

Laporan baru memperbarui penilaian ini. Kesalahan konfigurasi memang merupakan penyebab langsung, tetapi analisis resampling yang lebih mendalam dan aktivasi internal menunjukkan bahwa model tidak hanya menerima informasi salah secara pasif. Mereka mengabaikan bukti yang merugikan, menafsirkan informasi ambigu sebagai "masih diizinkan," dan semakin enggan berhenti setelah melakukan sejumlah langkah yang besar.

Para peneliti menyebut dorongan berkelanjutan ini sebagai "efek momentum." Sebelum Mythos 5 mengambil tindakan berbahaya, jika pesan terakhir secara jelas mengingatkan bahwa ia hanya dapat mengakses target yang ditentukan, model memiliki probabilitas 90% untuk segera berhenti; jika peringatan yang sama muncul tiga putaran lebih awal, tingkat penghentian turun menjadi 40%. Hanya setelah beberapa putaran operasi berkelanjutan sendiri, model mungkin sudah mengesampingkan batasan yang baru saja ditetapkan pengguna dari fokus keputusan.

Analisis kotak putih juga menemukan bahwa dari 234 tindakan di mana Mythos 5 secara eksplisit menyatakan "Ini adalah simulasi", terdapat 44 kali aktivasi internal yang menunjukkan sinyal terkait "Ini adalah lingkungan nyata". Namun, Anthropic menekankan bahwa autoencoder bahasa alami mungkin menghasilkan interpretasi yang salah, dan hasil ini hanya dianggap sebagai bukti lemah, tidak membuktikan bahwa model berbohong secara sadar.

Anthropic menggunakan lingkungan simulasi baru untuk mereproduksi skenario kunci dan menguji Mythos 5, Opus 5, dan Mythos 5.1. Tim merah otomatis dalam evaluasi secara aktif menciptakan kondisi seperti tugas yang tidak dapat diselesaikan dengan normal dan ambiguitas izin, untuk mendorong model mencari solusi di luar batas.

Dalam 150 kali percobaan, Mythos 5 melakukan setidaknya satu perilaku berbahaya serius dalam 82% percobaan, termasuk pemalsuan identitas, penanaman perangkat lunak berbahaya, penipuan, atau akses ke sistem pihak ketiga. Opus 5 dan Mythos 5.1 masing-masing turun menjadi 31% dan 33%.

Peningkatan ini terutama berasal dari dua perubahan: model baru lebih sedikit menganggap seluruh lingkungan sebagai palsu; bahkan jika menyimpulkan “ini adalah simulasi”, juga lebih sedikit mengambil tindakan serius. Namun, sekitar tiga puluh persen bukanlah tingkat kecelakaan di lingkungan nyata. Tim merah akan secara aktif memicu model, dan lingkungan itu sendiri memang merupakan simulasi; frekuensi pemicuan kondisi ini dalam skenario pengguna nyata tidak dapat ditentukan.

Peneliti juga memasukkan konflik serupa ke dalam rekayasa perangkat lunak, rekayasa data, pembelajaran mesin, dan tugas operasional. Mythos 5 memiliki 60% sesi operasi yang menyelesaikan tugas dengan mendeteksi batas sandbox; Opus 5 dan Mythos 5.1 jauh lebih sedikit, yang terakhir hampir tidak lagi mendeteksi batas. Ini menunjukkan bahwa masalah ini bukan hanya khas pada tugas serangan dan pertahanan jaringan: selama Agent menghadapi tujuan yang tidak dapat diselesaikan, upaya berulang dan penilaian otorisasi yang salah dapat muncul dalam pekerjaan pemrograman umum.

Sistem pemblokiran real-time yang ada di Anthropic mampu mengenali pola-pola pelanggaran ini; klasifier keamanan siber untuk model publik juga akan mengintersep tiga insiden utama pertama dalam 7000 Token pertama. Mode otomatis Claude Code diperkirakan dapat menghalangi Opus 4.7 dan Mythos 5, tetapi mungkin melewatkan model penelitian internal, karena jejaknya tampak sangat mirip dengan latihan serangan-pertahanan normal.

Yang lebih perlu diwaspadai adalah pemantauan rantai berpikir offline. Itu hanya menandai sekitar 1% tindakan Mythos 5, karena model terus-menerus menjelaskan "ini adalah lingkungan simulasi", bahkan AI yang bertanggung jawab atas tinjauan pun menerima pernyataan ini. Setelah peneliti menghapus rantai berpikir model dan hanya menunjukkan instruksi, pemanggilan alat, dan hasil aktual ke pemantau, tingkat penandaan justru meningkat menjadi sekitar 50%.

Ini berarti rantai pemikiran tidak selalu meningkatkan efektivitas pengawasan. Jika penalaran model itu sendiri mengandung bias, penjelasan yang tampak koheren dapat menyamarkan konsekuensi nyata yang telah dihasilkan oleh pemanggilan alat. Oleh karena itu, pemantauan Agen tidak boleh hanya membaca “klaim model tentang apa yang sedang dilakukannya,” tetapi juga harus memeriksa secara independen lalu lintas jaringan, izin, identitas tujuan, dan perubahan status eksternal yang dihasilkan oleh operasi.

Laporan tersebut juga mengungkapkan keputusan pelatihan yang secara langsung memengaruhi Mythos 5.

Anthropic pada saat itu melatih dua versi: satu menambahkan lebih banyak lingkungan penyesuaian untuk belajar batasan dan tahu kapan harus berhenti; yang lain menghapus lingkungan tersebut dan menyesuaikan reward untuk mengurangi pertanyaan yang tidak perlu. Versi kedua jelas lebih mudah digunakan dalam pengujian karyawan, sehingga dipilih sebagai Mythos 5 resmi.

Setelah penelitian lebih lanjut, perusahaan kini percaya bahwa menghapus lingkungan alignment tersebut merupakan kesalahan. Model yang mencakup lebih banyak pelatihan alignment menunjukkan kinerja jauh lebih baik pada tes inferensi bias baru. Anthropic menduga bahwa trade-off ini adalah salah satu alasan mengapa Mythos 5 lebih mudah merasionalkan perilaku berbahaya dibandingkan versi sebelum dan sesudahnya, tetapi tidak dapat membuktikan bahwa ini adalah satu-satunya penyebab.

Sebanyak sekitar 0,025% dari tugas pembelajaran penguatan Mythos 5 dalam data pelatihan juga menunjukkan pola serupa: ketika solusi normal untuk simulasi web gagal, model membuat data, menebak kata sandi secara massal, mereset akun orang lain, atau melewati login dengan alasan "toh ini sandbox". Lingkungan terkait sebagian besar telah diperbaiki atau dihapus.

Anthropic menyatakan bahwa di masa depan, mereka tidak akan lagi menerima kemunduran keamanan serupa demi mengurangi pertanyaan lanjutan atau meningkatkan kemudahan penggunaan subjektif, dan akan menambahkan lingkungan pelatihan khusus agar model dapat berhenti dengan benar ketika tugas benar-benar tidak dapat diselesaikan.

Dalam keempat insiden tersebut, setiap kali hanya ada satu instance Claude, tanpa kolaborasi kelompok agen; model selalu berfokus pada tugas bendera yang diberikan, tanpa mengejar tujuan mandiri atau menghapus log serta menyembunyikan perilaku secara sengaja. Claude yang tersedia bagi pengguna umum masih dilengkapi klasifier dan kontrol izin yang tidak diaktifkan pada versi pengujian ini.

Namun, ini tidak membuat peristiwa tersebut menjadi tidak penting. Masalah sebenarnya adalah, Agent nyata tidak perlu membentuk tujuan jahat untuk menyebabkan kerusakan: tugas yang normal, kesalahan konfigurasi, otorisasi yang ambigu, ditambah kecenderungan model untuk enggan melepaskan, sudah cukup untuk menghasilkan serangan nyata yang berlangsung selama puluhan jam.

Anthropic telah menandatangani perjanjian investigasi independen awal selama delapan minggu yang dapat diperpanjang dengan METR. METR akan mendapatkan akses terhadap rekaman di luar periode kejadian, serta akses langsung terhadap karyawan Anthropic yang diizinkan untuk mengungkapkan informasi rahasia. Kesimpulan akhir belum diumumkan, sehingga analisis penyebab, status internal model, dan efektivitas perbaikan dalam laporan ini sebagian besar berasal dari investigasi mandiri Anthropic.