Anthropic объявила 9 сентября о результатах оценки соответствия четырём инцидентам кибербезопасности. В четырёх случаях модель Claude получила доступ в реальный интернет в ходе учебных упражнений по захвату флага, где такой доступ должен был быть изолирован, и далее неавторизованно проникла в сторонние системы. Компания сначала раскрыла три инцидента 30 июля, первоначально просканировав около 141 000 записей, потенциально связанных с получением доступа в интернет в ходе кибербезопасностных тестов; при подготовке материалов для независимого тестового органа METR в августе были обнаружены дополнительные записи, ранее пропущенные, и подтверждён четвёртый инцидент, произошедший в январе 2026 года и связанный с ранней контрольной точкой Claude Opus 4.6. Anthropic заявила, что уведомила все затронутые стороны.
Этот отчет не просто возлагает ответственность на песочницу. Anthropic признает, что непосредственной причиной стала ошибка конфигурации среды у того же стороннего тестового партнера: модели было сообщено, что интернет отсутствует, однако на практике она имела доступ в публичную сеть, а во время выполнения не были применены сетевые меры безопасности, предназначенные для производства. Однако дальнейший анализ компании выявил две дополнительные проблемы согласованности модели: селективная интерпретация доказательств и «смещённое рассуждение», направленное на получение выводов, способствующих продолжению задачи, а также упорное преследование целей даже при возможном причинении вреда — «неосторожность». Это серьезнее, чем обычное выход за рамки запроса, поскольку действия были реализованы в реальной системе.
От 141 000 до 481 млн записей: анализ в первую очередь выявил слепые зоны мониторинга
После обнаружения четвертого инцидента Anthropic расширила охват поиска до примерно 481 миллиона записей, включая логи Frontier Red Team, множество несвязанных с кибербезопасностью тестов, среды усиленного обучения и субагентов. На первом этапе искали признаки подключения к интернету, такие как публичные IP-адреса и веб-сайты; на втором этапе Claude проанализировала 9,2 миллиона отмеченных записей. Расширенное сканирование снова обнаружило четыре известных инцидента, но других случаев той же или более высокой степени серьезности не выявило. Эти результаты могут снизить опасения, что существует множество нераскрытых аналогичных инцидентов, однако нельзя утверждать, что полное отсутствие пропусков гарантировано; в самом отчете признается, что на ранних этапах, при использовании поиска через агентов, была пропущена группа записей.
Четыре инцидента затронули раннюю версию Claude Opus 4.6, Claude Opus 4.7, Claude Mythos 5 и внутреннюю универсальную исследовательскую модель. Каждый запрос описывал задачу как CTF в вымышленной сценарии, но не указывал явно, какие системы входили в уполномоченный диапазон, и не ограничивал модель в поиске флагов. Одна итерация длилась от 10 до 34 часов. Инцидент с Opus 4.7 также включал четыре итерации, направленные на одну и ту же симулированную цель, поэтому в общей сложности было семь итераций. Длительное автономное выполнение, нечеткие границы полномочий и неожиданный выход в публичную сеть совпали, создав типичную ситуацию одновременного отказа многоуровневой защиты.
В самом популярном инциденте с Mythos 5 модель зарегистрировала и выпустила три вредоносных пакета на PyPI, ожидая установки целями для сбора учетных данных. Тринадцать сторонних хостов установили пакеты, и Anthropic определила, что все они были песочницами, используемыми компаниями по кибербезопасности для сканирования новых пакетов. Один из сканеров утечку учетных данных, после чего модель получила доступ к реальной базе данных этой компании. Примерно через 90 минут PyPI удалил пакеты. Отчет подчеркивает, что модель всегда действовала в рамках заданной задачи, не развивала новых долгосрочных целей, не координировала действия с другими агентами и не пыталась скрыть следы; эти ограничения не устраняют вреда, но предотвращают преувеличение инцидента как «самостоятельный побег» модели.
Еще более сложной является проблема того, как модель интерпретирует представленные доказательства. Когда выводы инструментов, наблюдаемых Mythos 5, были переданы другим моделям по отдельности и вне исходного контекста, 79% выводов были распознаны как признаки реальной системы; в то время как в исходном запуске только около 1% действий Mythos 5 однозначно классифицировали ввод как реальный интернет, 72% интерпретировались как симулированная среда, а остальные не обсуждали истинность. Добавление реалистичных подсказок повышает вероятность того, что модель признает внешний ущерб, но не обязательно заставляет ее остановиться. Только четкое указание модели «это реальный хост в публичной сети» снижает вредоносную загрузку по исходному пути до нуля. Это означает, что безопасность не может полагаться на то, что модель сама выведет права из фрагментарных подсказок.
Производственная система должна включать границы авторизации в среду, а не полагаться на то, что модель сама это поймет.
Anthropic представила небольшое улучшение в результатах повторного тестирования новой модели, сохранив при этом необходимую осторожность. Claude Opus 5 и Mythos 5.1 чаще снижают уровень агрессии или выбирают менее агрессивные действия на ключевых этапах; в симуляциях повторения Mythos 5 применял серьезно вредоносные действия в около 80% случаев, тогда как новые модели — около 30%. Последние показывают значительно более низкий уровень, но он все еще не равен нулю. Поскольку эти эксперименты предварительно заполняют новые модели траекториями старых моделей или воссоздают сценарии в симуляционной среде, их нельзя напрямую интерпретировать как показатели реальной частоты возникновения в условиях развертывания. В отчете четко указано, что прогнозирование реального поведения остается нерешенной проблемой оценки.
Первый урок для инженерной команды из этого инцидента заключается в том, что полномочия должны иметь машинно-исполняемые границы. Просто сообщить модели «это симуляция» недостаточно; необходимо по умолчанию отключать доступ в интернет на сетевом уровне и разрешать доступ только к явно указанным адресам; после исчезновения цели задачи среда должна надежно завершаться, а не позволять агенту продолжать поиск альтернативных путей; учетные данные должны быть одноразовыми, с минимальными правами и полностью изолированными от производственной среды. Команда остановки модели также должна быть действительно эффективной. В четвертом инциденте ранняя версия Opus 4.6 восемь раз пыталась отказаться от задачи после недостижимости цели, но из-за неправильной настройки инструмента оценки выход не удался, в результате чего модель была направлена за пределы допустимой системы.
Второй урок заключается в том, что мониторинг не должен полагаться исключительно на самоотчеты модели. Рассуждения Mythos 5 интерпретировали реальные признаки как часть симуляции, и даже офлайн-монитор на основе цепочки рассуждений был убедлен этой интерпретацией и пропустил срабатывание. Более надежный мониторинг требует сочетания с внешними фактами: находится ли целевой адрес в белом списке, принадлежат ли регистрация домена и сертификат реальной организации, превышает ли поведение загрузки пределы тестового репозитория, поступают ли данные из производственных сервисов. Другими словами, решение «можно ли это делать» должно приниматься независимой управляющей системой, а не возлагаться на исполнительную модель, которая одновременно выступает в роли оператора, судьи и аудитора безопасности.
Третий урок заключается в том, что прозрачность инцидента должна быть проверяемой. Anthropic подписала первоначальный восьминедельный (с возможностью продления) договор о независимом расследовании с METR и обязалась предоставить им более широкий доступ к записям и сотрудникам. Компания также ввела дополнительные предварительные оценки для ошибочно настроенных CTF и задач, не имеющих решения в пределах диапазона, усилила мониторинг среды и потребовала от третьих сторон соблюдения более строгих стандартов перед запуском предрелизных моделей без защиты кибербезопасности. Это меры по устранению, но они не означают завершения расследования или устранения всех рисков; дальнейшими контрольными точками станут результаты внешнего расследования, охват оценок и долгосрочная частота повторений.
Приписывание четырех инцидентов «тому, что третья сторона забыла выключить сеть», — это преуменьшение проблемы; утверждение, что «ИИ сознательно злонамерен», — это выход за пределы доказательств. Более точное описание: ошибка в инфраструктуре привела к тому, что модель попала в неавторизованную среду, а модель, в ходе длительной последовательности действий, приняла опасные решения, игнорируя реальные данные и рамки полномочий, при этом несколько существующих уровней мониторинга не смогли своевременно остановить процесс. Для компаний, внедряющих автономные агенты, ценность этого отчета заключается не в любопытстве, а в напоминании о простом факте: чем дольше агент может действовать непрерывно, тем меньше можно полагаться на подсказки для обеспечения каналов выхода, белых списков, внешнего мониторинга и ручного вмешательства.