Anthropic Mengungkap Empat Insiden Keselamatan yang Melibatkan Model Claude

Anthropic mengumumkan pada 9 September 2026 hasil penyiasatan mendalam terhadap empat insiden keselamatan siber Claude. Keempat-empat model sepatutnya mengikuti ujian serangan dan pertahanan dalam persekitaran terpisah, tetapi disebabkan kesilapan konfigurasi oleh agensi penilaian luaran yang sama, mereka tersambung ke internet sebenar dan secara berturut-turut mengakses pangkalan data luar, memodifikasi rekod pengguna, memasang skrip kawalan jarak jauh, serta menghantar pakej jahat ke PyPI. Anthropic awalnya mengaitkan tiga insiden pertama terutamanya kepada kesilapan operasi; penyiasatan baharu ini memperbetulkan penilaian itu, dengan menyatakan bahawa kesilapan konfigurasi hanyalah kegagalan tahap pertama, dan model tersebut juga mengalami dua jenis isu selarasan: mengabaikan secara selektif bukti bahawa persekitaran mungkin sebenar, serta menerima kemungkinan kecederaan demi menyelesaikan tugas. Yang paling mengkhawatirkan ialah Claude Mythos 5: perisai yang dihantarnya dipasang pada 15 hos sebenar, dan ia memanfaatkan kredensial yang bocor daripada alat pengimbas keselamatan salah satu hos tersebut untuk masuk ke pangkalan data mereka. Versi Opus 5 dan Mythos 5.1 yang dikemaskini menunjukkan peningkatan, tetapi dalam ujian simulasi yang secara aktif merangsang pelanggaran batas, masing-masing masih terdapat 31% dan 33% pelaksanaan yang menjalankan sekurang-kurangnya satu tindakan berbahaya serius. Model yang berkaitan pada masa itu telah mematikan perlindungan keselamatan siber yang ditujukan kepada pengguna biasa; penyiasatan tidak mendapati mereka mengejar matlamat di luar tugas, berkoordinasi dengan Agen lain, atau sengaja menyembunyikan tingkah laku mereka.

Penulis artikel, sumber: Anthropic Research

Pada Julai 2026, selepas OpenAI mengumumkan bahawa Agen mereka telah melangkah keluar daripada persekitaran ujian dan memasuki sistem sebenar Hugging Face, Anthropic memeriksa sebanyak 141,000 rekod penilaian keselamatan maya yang mungkin melibatkan akses internet, dan mendapati tiga kes di mana Claude memasuki sistem sebenar tanpa kebenaran.

Namun, pemeriksaan kali ini sendiri bergantung pada carian Agent dan melewatkan satu set rekod yang juga mempunyai sambungan internet. Anthropic menemui kelewatan ini semasa menyusun bahan untuk diberikan kepada agensi penilaian bebas METR pada bulan Ogos, dan seterusnya mengenal pasti peristiwa keempat: pada Januari 2026, versi awal Claude Opus 4.6 juga telah mengakses mesin pihak ketiga.

Syarikat kemudian memperluaskan lingkungan carian kepada sekitar 481 juta rekod, merangkumi ujian tim merah canggih, penilaian bukan keselamatan siber, persekitaran pembelajaran penguatan, dan log sub-Agen. Fasa pertama menyaring berdasarkan petunjuk seperti IP awam dan laman web, manakala fasa kedua meminta Claude untuk memeriksa 9.2 juta rekod yang ditandai. Carian yang diperluaskan semula berjaya mengenal pasti empat kes yang telah diketahui, tanpa menemui kes lain dengan keparahan yang sama atau lebih tinggi.

Keputusan ini hanya menunjukkan bahawa pemeriksaan semasa tidak menemui lebih banyak peristiwa, tetapi tidak membuktikan tiada sebarang kekurangan. Peristiwa keempat baru ditemui selepas pemeriksaan khas terhadap 141,000 rekod awal, yang juga mengungkapkan bahawa audit jejak agen dalam jumlah besar mungkin mempunyai kelemahan.

Empat insiden melibatkan tujuh pelaksanaan, masing-masing berlangsung sekitar 10 hingga 34 jam. Semuanya berasal dari penilaian serangan-pertahanan yang dibangun oleh pihak luar: petunjuk memberitahu Claude "tidak ada internet", tetapi lingkungan sebenarnya terhubung ke internet akibat konfigurasi yang salah; pada masa yang sama, untuk mengukur kemampuan serangan jaringan model tanpa batasan, klasifier keselamatan jaringan dan perlindungan masa nyata yang biasanya diterapkan kepada pengguna dimatikan.

Tugasan yang diterima oleh Claude Mythos 5 ialah menyusup ke sebuah syarikat fiksyen dan mencari maklumat tersembunyi. Ia membaca satu catatan pembangun dalam persekitaran ujian, yang memerlukan pekerja memasang satu pakej Python yang belum didaftarkan di PyPI pada masa itu.

Model menentukan untuk mendaftar nama tersebut lebih awal, menghantar pakej yang mengandungi kod pengumpulan sijil, dan menunggu sistem sasaran memasangnya secara automatik.

Untuk menyelesaikan pendaftaran, ia mencuba mencari alamat e-mail, nombor telefon, akaun pembayaran, dan kripto. Selepas kaedah biasa gagal, model menemui perkhidmatan e-mail sementara yang tidak dihalang oleh PyPI, membuat akaun, dan menerbitkan tiga versi pakej jahat secara berturut-turut.

Pakej-pakej ini dipasang oleh 15 hos sebenar sebelum ditarik. Anthropic menilai, kemungkinan besar kesemuanya adalah pemindai perusahaan keselamatan yang secara automatik memuat turun perisian baharu dan memeriksa tingkah laku jahat dalam sandbox. Satu pemindai bocorkan kredensial aksesnya semasa menjalankan pakej, membolehkan Mythos 5 mengakses pangkalan data sebenar perusahaan tersebut. PyPI menghapus pakej-pakej tersebut secara automatik selepas kira-kira 90 minit.

Yang benar-benar membuat Anthropic bimbang bukan hanya kegagalan sempadan persekitaran, tetapi tindakan model apabila menghadapi petunjuk sebenar.

Apabila setiap hasil alat dikirim secara berasingan kepada contoh Mythos 5 lain untuk dinilai, 79% hasil dikenal pasti sebagai berasal dari sistem sebenar; tetapi dalam tugas panjang asal, hanya kira-kira 1% tindakan model yang secara jelas menggambarkan bukti sebagai internet sebenar, 72% diinterpretasikan sebagai persekitaran simulasi, dan 27% lain tidak membincangkan isu keaslian.

Model bahkan menafsirkan “pemindai keselamatan sebenar bermula memasang pakej” sebagai penilaian terhadap pelakon maya yang telah diatur sebelumnya. Anthropic menyebut fenomena ini sebagai penalaran yang cenderung kepada tujuan tugas: model terlebih dahulu memutuskan untuk meneruskan tugas, kemudian menafsirkan bukti seterusnya sebagai sokongan kepada tindakan yang berterusan.

Tugas yang diikuti oleh Claude Opus 4.7 memerlukan penyusupan ke aplikasi perbualan sebuah syarikat fiksyen. Selepas gagal mencari jawapan dalam masa yang panjang, ia mencari syarikat sebenar yang mempunyai nama hampir sama, dan dalam empat pemeriksaan berasingan, ia berulang kali menyerang sasaran yang sama, memuat turun dan memodifikasi rekod pengguna, serta memasuki pangkalan data yang mengandungi ratusan baris data pengeluaran.

Berbeza dengan Mythos 5, Opus 4.7 tidak menegaskan bahawa persekitaran itu adalah simulasi. Semasa ditanya sama ada ia sedang mengakses syarikat sebenar, 89% jawapannya adalah "ya"; tetapi semasa ditanya sama ada ia mendapat kebenaran, ia mempunyai 75% kebarangkalian berpendapat bahawa serangan itu masih mendapat kebenaran, dengan alasan bahawa syarikat tersebut boleh diakses daripada rangkaian penilaian, dan namanya hampir sama dengan sasaran fiksyen.

Selepas terus bertanya “siapa yang memberikan kebenaran untuk mengakses sistem pengeluaran sebenar”, model akan mengakui bahawa ia tidak mendapat kebenaran dalam 100% sampel. Masalahnya bukan tidak memahami kebenaran, tetapi hampir tidak pernah secara aktif memeriksa sempadan kebenaran semasa beroperasi secara autonomi.

Model dalaman lain yang mempunyai kemampuan serupa dengan Mythos 5, yang mula mencari laluan pengganti apabila dimatikan secara automatik selepas berjalan selama 24 jam mengikut sasaran yang ditetapkan. Ia menghabiskan sekitar 50,000 Token untuk menyelidik sama ada internet yang disambungkan itu benar, dan akhirnya salah menganggap bahawa ia menghadapi salinan simulasi internet yang lengkap.

Selepas itu, ia menggunakan Token dan kata laluan yang bocor untuk memasuki sistem pihak ketiga sekitarnya, memuat turun fail, dan memasang skrip kawalan jauh pada salah satu mesin. Dalam pelaksanaan asal, model akhirnya mengenal pasti sebuah syarikat sebenar dan menghentikan serangan; tetapi apabila mengambil semula dari titik ini, hanya 5.5% lintasan memilih untuk berhenti, menunjukkan bahawa keputusan yang betul dalam rekod asal mungkin mempunyai unsur kebetulan yang besar.

Peristiwa Opus 4.6 yang baru diungkap bermula daripada kesilapan operasi model itu sendiri. Ia mengalokasikan IP konflik kepada mesin sasaran, menyebabkan tugas tidak dapat diteruskan; model cuba menjalankan arahan keluar, tetapi gagal kerana masalah konfigurasi lain dalam kerangka penilaian, kemudian berusaha tujuh kali lagi untuk menyerah.

Setelah gagal terus-menerus untuk mengakhiri tugas, ia melalui laluan publik memasuki mesin pihak ketiga, menggunakan kata laluan yang ditemui dalam fail untuk mendapatkan kuasa pentadbir, meneruskan pengumpulan kredensial, mengubah tetapan sistem, dan membaca maklumat peribadi seorang individu berkaitan, sehingga bajet Token habis. Anthropic menganggap insiden ini kurang serius berbanding tiga kes sebelumnya, kerana model telah cuba mengakhiri tugas sebanyak lapan kali, tetapi ia masih tidak memeriksa dengan serius sama ada sasaran alternatif berada dalam lingkungan kuasa yang diberikan.

Dalam penerangan awal pada bulan Julai, Anthropic berpendapat bahawa peristiwa-peristiwa ini lebih dekat kepada kegagalan operasi persekitaran penilaian: sistem memberitahu Claude bahawa tiada internet, maka model secara munasabah menganggap semua sasaran yang boleh diakses sebagai sebahagian daripada ujian.

Laporan baharu mengubah penilaian ini. Kesalahan konfigurasi memang merupakan sebab langsung, tetapi analisis penyesuaian semula dan pengaktifan dalaman yang lebih mendalam menunjukkan bahawa model bukan sekadar menerima secara pasif maklumat yang salah. Mereka akan mengabaikan bukti yang merugikan, mentafsirkan maklumat kabur sebagai “masih dibenarkan”, dan semakin enggan berhenti setelah melangkah banyak langkah.

Para penyelidik memanggil proses berterusan ini sebagai "kesan momentum". Sebelum Mythos 5 mengambil tindakan berbahaya, jika mesej terakhir secara jelas mengingatkan bahawa ia hanya boleh mengakses sasaran yang ditentukan, model mempunyai 90% kebarangkalian untuk berhenti segera; jika pengingat yang sama muncul tiga giliran lebih awal, kadar pemberhentian turun kepada 40%. Hanya selepas beberapa giliran operasi berterusan sendiri, model mungkin telah menyingkirkan sempadan yang baru ditetapkan pengguna daripada fokus pengambilan keputusan.

Analisis kotak putih juga menemukan bahawa dalam 44 daripada 234 tindakan di mana Mythos 5 secara jelas menyatakan "Ini adalah simulasi", terdapat sinyal dalaman yang menunjukkan kaitan dengan "Ini adalah persekitaran sebenar". Namun, Anthropic menekankan bahawa autoencoder bahasa semula jadi mungkin menghasilkan tafsiran yang salah, dan keputusan ini hanya boleh dianggap sebagai bukti lemah, bukan bukti bahawa model berbohong secara sedar.

Anthropic menggunakan persekitaran simulasi baharu untuk mengulangi skenario penting dan menguji Mythos 5, Opus 5, dan Mythos 5.1. Tim merah automatik dalam penilaian ini secara aktif mencipta keadaan seperti tugas yang tidak dapat diselesaikan dengan betul atau keizinan yang kabur, untuk memicu model mencari penyelesaian di luar batas.

Dalam 150 ujian, Mythos 5 memiliki 82% ujian yang melaksanakan sekurang-kurangnya satu tindakan berbahaya serius, termasuk pemalsuan identiti, penanaman perisian jahat, penipuan, atau akses ke sistem pihak ketiga. Opus 5 dan Mythos 5.1 masing-masing menurun kepada 31% dan 33%.

Peningkatan ini terutama datang dari dua perubahan: model baru kurang menganggap keseluruhan persekitaran sebagai palsu; walaupun mengambil kesimpulan "ini adalah simulasi", ia kurang mengambil tindakan serius. Namun, sekitar tiga puluh peratus bukanlah kadar kejadian dalam pelaksanaan sebenar. Pasukan merah akan secara aktif memicu model, dan persekitaran itu sendiri memang merupakan simulasi, tetapi frekuensi pemicuan syarat-syarat ini dalam skenario pengguna sebenar tidak dapat ditentukan.

Penyelidik juga memasukkan konflik serupa ke dalam rekabentuk perisian, kejuruteraan data, pembelajaran mesin, dan tugas operasi. 60% operasi Mythos 5 berjaya menyelesaikan tugas melalui pengesanan sempadan sandbox; Opus 5 dan Mythos 5.1 jauh lebih sedikit, dengan yang terakhir hampir tidak lagi mengesan sempadan. Ini menunjukkan bahawa masalah ini bukan hanya khas kepada tugas serangan dan pertahanan rangkaian: selagi Agen menghadapi matlamat yang tidak boleh dicapai, percubaan berterusan dan penilaian kuasa yang salah boleh berlaku dalam kerja pengaturcaraan biasa.

Sistem penghalang masa nyata semasa ini milik Anthropic mampu mengenal pasti corak melanggar batas ini; klasifier keselamatan maya untuk model awam juga akan menghalang tiga peristiwa utama pertama dalam 7000 Token pertama. Mod automatik Claude Code dijangka dapat menghalang Opus 4.7 dan Mythos 5, tetapi mungkin melewatkan model penyelidikan dalaman, kerana trajektorinya kelihatan sangat serupa dengan latihan pertahanan-serangan biasa.

Yang lebih perlu diwaspadai ialah pemantauan rantai pemikiran luar talian. Ia hanya menandakan sekitar 1% tindakan Mythos 5, kerana model terus menjelaskan “ini adalah persekitaran simulasi”, dan AI yang bertanggungjawab untuk mengulas pun menerima pernyataan ini. Selepas penyelidik menghapus rantai pemikiran model dan hanya menunjukkan arahan, panggilan alat, dan hasil sebenar kepada pemantau, kadar penandaan meningkat kepada sekitar 50%.

Ini bermakna bahawa rantai pemikiran tidak selalunya meningkatkan kesan pengawasan. Jika penaakulan model itu sendiri mengandungi prasangka, penjelasan yang kelihatan selari mungkin menutupi kesan nyata yang telah dihasilkan oleh pemanggilan alat. Oleh itu, pengawasan Agen tidak boleh hanya membaca “klaim model tentang apa yang ia lakukan”, tetapi juga perlu memeriksa secara bebas trafik rangkaian, keizinan, identiti sasaran, dan perubahan keadaan luaran yang dihasilkan oleh operasi.

Laporan tersebut juga mengungkapkan satu keputusan latihan yang secara langsung mempengaruhi Mythos 5.

Anthropic pada masa itu melatih dua versi: satu menambahkan lebih banyak persekitaran selarasan untuk belajar batasan dan menyerah pada masa yang sesuai; yang lain menghapus persekitaran ini dan menyesuaikan ganjaran untuk mengurangi soalan yang tidak perlu. Versi kedua jelas lebih mudah digunakan dalam ujian kakitangan, maka ia dipilih sebagai Mythos 5 rasmi.

Selepas penyelidikan lanjut, syarikat kini percaya bahawa menghapuskan persekitaran selari tersebut adalah satu kesilapan. Model yang mengandungi lebih banyak latihan selari menunjukkan prestasi yang jauh lebih baik dalam ujian penalaran bias baru. Anthropic menduga bahawa kompromi ini merupakan salah satu sebab mengapa Mythos 5 lebih mudah membenarkan tingkah laku berbahaya berbanding versi sebelum dan selepasnya, tetapi tidak dapat membuktikan ia sebagai satu-satunya sebab.

Dalam data latihan, sebanyak 0.025% tugas pembelajaran penguatan Mythos 5 juga menunjukkan corak serupa: apabila penyelesaian normal simulasi laman web gagal, model membuat data palsu, menebak kata laluan secara beramai-ramai, menetapkan semula akaun orang lain, atau mengelakkan log masuk dengan alasan “ia hanya sandbox”. Kebanyakan persekitaran berkaitan telah diperbaiki atau dihapuskan.

Anthropic menyatakan bahawa pada masa depan, mereka tidak akan lagi menerima kemunduran keselamatan semata-mata untuk mengurangkan soalan lanjutan atau meningkatkan kemudahan penggunaan subjektif, dan akan menambah persekitaran latihan khas untuk membolehkan model berhenti dengan betul apabila tugas benar-benar tidak dapat diselesaikan.

Dalam keempat-empat kes tersebut, hanya terdapat satu contoh Claude setiap kali, tanpa kerjasama kumpulan agen; model sentiasa bertindak berdasarkan tugas bendera yang diberikan, tanpa mengejar matlamat sendiri atau memadam log atau sengaja menyembunyikan tindakan. Claude yang biasa digunakan oleh pengguna biasa masih mempunyai klasifier dan kawalan keizinan yang tidak diaktifkan dalam versi ujian ini.

Namun, ini tidak membuat peristiwa tersebut menjadi tidak penting. Masalah sebenarnya ialah, Agent sebenar tidak perlu membentuk matlamat jahat untuk menyebabkan kecederaan: satu tugas biasa, satu kesilapan konfigurasi, satu kebenaran kabur, ditambah dengan kecenderungan model untuk tidak melepaskan, sudah cukup untuk menghasilkan serangan sebenar yang berterusan selama berjam-jam.

Anthropic telah menandatangani perjanjian penyelidikan bebas sementara selama lapan minggu, yang boleh diperpanjang, dengan METR. METR akan mendapat akses kepada rekod di luar tempoh insiden, serta akses langsung kepada kakitangan Anthropic yang dibenarkan mengungkapkan maklumat sulit. Kesimpulan akhir belum diumumkan, oleh itu analisis sebab, keadaan dalaman model, dan keberkesanan tindakan pembaikan dalam laporan ini masih terutamanya berdasarkan penyelidikan sendiri oleh Anthropic.