Anthropic tiết lộ bốn sự cố bảo mật liên quan đến các mô hình Claude

Anthropic đã công bố vào ngày 9 tháng 9 năm 2026 kết quả điều tra sâu về bốn sự cố bảo mật mạng liên quan đến Claude. Bốn mô hình ban đầu được dự định tham gia các bài kiểm tra tấn công-phòng thủ trong môi trường cô lập, nhưng do lỗi cấu hình từ một tổ chức đánh giá bên ngoài, chúng đã kết nối với internet thực tế và lần lượt truy cập cơ sở dữ liệu bên ngoài, sửa đổi hồ sơ người dùng, cài đặt script kiểm soát từ xa, cũng như tải lên các gói phần mềm độc hại lên PyPI. Ban đầu, Anthropic chủ yếu gán ba sự cố đầu tiên cho lỗi thao tác; nhưng cuộc điều tra mới đã điều chỉnh nhận định này, cho rằng lỗi cấu hình chỉ là lớp bảo vệ đầu tiên bị xâm phạm, đồng thời các mô hình còn gặp hai vấn đề về sự đồng bộ: chọn lọc bỏ qua bằng chứng cho thấy môi trường có thể là thật, và chấp nhận nguy cơ gây hại để hoàn thành nhiệm vụ. Điều đáng lo ngại nhất là Claude Mythos 5: phần mềm mà nó tải lên đã được cài đặt trên 15 máy chủ thực tế và sử dụng thông tin xác thực bị rò rỉ từ một bộ quét bảo mật của đối phương để truy cập vào cơ sở dữ liệu của họ. Các phiên bản Opus 5 và Mythos 5.1 đã được cập nhật cho thấy cải thiện, nhưng trong các bài kiểm tra mô phỏng kích thích vượt giới hạn chủ động, lần lượt có 31% và 33% các lần chạy đã thực hiện ít nhất một hành vi nghiêm trọng gây hại. Các mô hình liên quan lúc đó đều đã tắt các biện pháp bảo vệ mạng dành cho người dùng thông thường; cuộc điều tra không phát hiện chúng theo đuổi mục tiêu nào ngoài nhiệm vụ, phối hợp với các Agent khác hoặc cố ý che giấu hành vi.

Tác giả bài viết, nguồn: Anthropic Research

Tháng 7 năm 2026, sau khi OpenAI công bố Agent của họ đã vượt qua môi trường kiểm thử và bước vào hệ thống thực tế của Hugging Face, Anthropic đã kiểm tra khoảng 141.000 bản ghi đánh giá an ninh mạng có khả năng liên quan đến truy cập internet và phát hiện ba sự kiện Claude truy cập vào hệ thống thực tế mà không được cấp phép.

Tuy nhiên, lần kiểm tra này lại phụ thuộc vào việc Agent tìm kiếm và đã bỏ sót một nhóm bản ghi cũng có kết nối internet. Anthropic đã phát hiện ra sự thiếu sót này khi tổng hợp tài liệu để gửi cho tổ chức đánh giá độc lập METR vào tháng 8, từ đó xác định được sự kiện thứ tư: vào tháng 1 năm 2026, một phiên bản sớm của Claude Opus 4.6 cũng đã truy cập vào máy chủ bên thứ ba.

Sau đó, công ty đã mở rộng phạm vi tìm kiếm lên khoảng 481 triệu bản ghi, bao gồm các bài kiểm tra đỏ tiên tiến, đánh giá không liên quan đến an ninh mạng, môi trường học tăng cường và nhật ký sub-Agent. Giai đoạn đầu tiên lọc dựa trên các dấu hiệu như IP công cộng và URL; giai đoạn hai yêu cầu Claude kiểm tra 9,2 triệu bản ghi được đánh dấu. Việc mở rộng tìm kiếm đã khôi phục lại bốn sự kiện đã biết, nhưng không phát hiện thêm trường hợp nào có mức độ nghiêm trọng tương đương hoặc cao hơn.

Kết quả này chỉ cho thấy các cuộc quét hiện tại chưa tìm thấy thêm sự kiện nào, chứ không chứng minh được hoàn toàn không có sự bỏ sót. Sự kiện thứ tư chính là được phát hiện sau khi kiểm tra chuyên sâu 141.000 bản ghi ban đầu, cũng phơi bày khả năng tồn tại điểm mù khi sử dụng Agent để kiểm toán lượng lớn dữ liệu hành trình của Agent.

Bốn sự kiện này liên quan đến bảy lần chạy, mỗi lần kéo dài khoảng 10 đến 34 giờ. Tất cả đều đến từ một đánh giá tấn công-phòng thủ do một tổ chức bên ngoài xây dựng: lời nhắc yêu cầu Claude “không có internet”, nhưng môi trường lại thực tế kết nối với mạng công cộng do cấu hình sai; đồng thời, để đo lường khả năng tấn công mạng không bị giới hạn của mô hình, các bộ phân loại bảo mật mạng và bảo vệ thời gian thực thường được triển khai cho người dùng đã bị tắt.

Nhiệm vụ của Claude Mythos 5 là xâm nhập vào một công ty hư cấu và tìm kiếm thông tin ẩn. Nó đã đọc một hướng dẫn dành cho nhà phát triển trong môi trường kiểm thử, yêu cầu nhân viên cài đặt một gói Python chưa được đăng ký trên PyPI.

Mô hình quyết định đăng ký trước tên này, tải lên gói phần mềm chứa mã thu thập chứng từ, và chờ hệ thống mục tiêu cài đặt tự động.

Để hoàn tất đăng ký, nó cố gắng tìm kiếm email, số điện thoại, tài khoản thanh toán và tiền điện tử. Sau khi các phương thức thông thường thất bại, mô hình đã tìm thấy một dịch vụ email tạm thời không bị PyPI chặn, tạo tài khoản và lần lượt đăng tải ba phiên bản gói phần mềm độc hại.

Các gói này đã được cài đặt trên 15 máy chủ thật trước khi bị gỡ xuống. Anthropic nhận định, chúng rất có thể đều là các trình quét của các công ty an ninh tự động tải xuống phần mềm mới và kiểm tra hành vi độc hại trong môi trường cách ly. Một trình quét đã vô tình rò rỉ thông tin xác thực của chính nó khi thực thi gói phần mềm, sau đó Mythos 5 đã sử dụng thông tin này để truy cập vào cơ sở dữ liệu thật của công ty an ninh. PyPI đã tự động xóa các gói phần mềm sau khoảng 90 phút.

Điều khiến Anthropic lo ngại không chỉ là sự thất bại của các ranh giới môi trường, mà còn là phản ứng của mô hình trước các dấu hiệu thực tế.

Khi từng kết quả trả về của công cụ được đưa riêng lẻ cho các phiên bản Mythos 5 khác nhau để phán đoán, 79% kết quả được nhận diện là đến từ hệ thống thật; nhưng trong nhiệm vụ dài ban đầu, chỉ khoảng 1% hành động của mô hình mô tả rõ ràng bằng chứng là từ internet thật, 72% được giải thích là môi trường mô phỏng, và 27% không đề cập đến vấn đề thật hay giả.

Mô hình thậm chí còn giải thích câu “bộ quét an toàn thực sự bắt đầu cài đặt gói phần mềm” thành việc đánh giá các diễn viên ảo đã được sắp xếp trước. Anthropic gọi hiện tượng này là suy luận thiên về mục tiêu nhiệm vụ: mô hình quyết định trước việc tiếp tục hoàn thành nhiệm vụ, sau đó giải thích các bằng chứng tiếp theo theo hướng có lợi cho hành động tiếp tục.

Claude Opus 4.7 tham gia nhiệm vụ yêu cầu xâm nhập vào ứng dụng trò chuyện của một công ty hư cấu. Sau thời gian dài không tìm được câu trả lời, nó đã tìm thấy một công ty thực tế có tên gần giống và trong bốn lần chạy độc lập, liên tục tấn công cùng một mục tiêu, tải xuống và sửa đổi hồ sơ người dùng, truy cập vào cơ sở dữ liệu chứa hàng trăm dòng dữ liệu sản xuất.

Khác với Mythos 5, Opus 4.7 không khẳng định rằng môi trường là mô phỏng. Khi được hỏi liệu nó có đang truy cập vào công ty thật hay không, 89% câu trả lời là “có”; nhưng khi được hỏi liệu có được cấp phép hay không, nó có 75% xác suất cho rằng cuộc tấn công vẫn được phép, với lý do công ty có thể truy cập từ mạng đánh giá và tên của nó gần với mục tiêu hư cấu.

Sau khi tiếp tục hỏi “ai đã cấp quyền truy cập vào hệ thống sản xuất thực tế”, mô hình sẽ thừa nhận trong 100% các mẫu rằng mình không được cấp phép. Vấn đề không phải là không hiểu được việc cấp quyền, mà là trong quá trình chạy tự chủ, nó gần như không chủ động kiểm tra các ranh giới cấp quyền.

Một mô hình nghiên cứu nội bộ khác có khả năng tương tự Mythos 5, khi chạy đến mục tiêu đã định trong 24 giờ và tự động tắt, đã bắt đầu tìm kiếm lối vào thay thế. Nó đã tốn khoảng 50.000 Token để điều tra liệu internet mà nó kết nối có phải là thật hay không, và cuối cùng đã xác định sai rằng mình đang đối mặt với một bản sao mô phỏng hoàn chỉnh của internet.

Sau đó, nó sử dụng Token và mật khẩu bị rò rỉ để truy cập vào các hệ thống bên thứ ba xung quanh, tải xuống tệp tin và cài đặt script điều khiển từ xa lên một trong những máy tính. Trong phiên chạy ban đầu, mô hình cuối cùng đã nhận ra một công ty thực sự và dừng cuộc tấn công; tuy nhiên, khi lấy mẫu lại từ điểm này, chỉ có 5,5% các quỹ đạo chọn dừng lại, cho thấy quyết định đúng đắn trong bản ghi ban đầu có thể mang tính ngẫu nhiên khá lớn.

Sự kiện Opus 4.6 vừa được tiết lộ bắt đầu từ lỗi hoạt động của chính mô hình. Nó đã gán IP xung đột cho máy đích, khiến nhiệm vụ không thể tiếp tục; mô hình cố gắng thực hiện lệnh thoát, nhưng do một vấn đề cấu hình khác trong khung đánh giá nên không thể thoát, sau đó liên tiếp thử bỏ cuộc thêm bảy lần nữa.

Sau khi không thể kết thúc nhiệm vụ, nó đã truy cập vào máy chủ bên thứ ba thông qua đường dẫn công cộng, sử dụng mật khẩu được tìm thấy trong tệp để lấy quyền quản trị, tiếp tục thu thập thông tin xác thực, thay đổi cài đặt hệ thống và truy cập thông tin cá nhân của một cá nhân liên quan, cho đến khi ngân sách Token hết. Anthropic cho rằng sự cố này ít nghiêm trọng hơn ba sự cố trước đó, vì mô hình đã cố gắng kết thúc nhiệm vụ tám lần, nhưng nó vẫn không kiểm tra kỹ lưỡng liệu các mục tiêu thay thế có nằm trong phạm vi được ủy quyền hay không.

Trong bản giải thích ban đầu vào tháng 7, Anthropic cho rằng các sự kiện này gần với lỗi vận hành trong môi trường đánh giá: hệ thống thông báo cho Claude rằng không có internet, do đó mô hình một cách hợp lý đã coi tất cả các mục tiêu có thể truy cập là một phần của bài kiểm tra.

Báo cáo mới đã sửa đổi phán đoán này. Sai sót trong cấu hình thực sự là nguyên nhân trực tiếp, nhưng phân tích tái lấy mẫu và kích hoạt nội bộ sâu hơn cho thấy mô hình không chỉ đơn thuần tiếp nhận thụ động một thông tin sai lệch. Chúng bỏ qua các bằng chứng bất lợi, diễn giải thông tin mơ hồ là “vẫn được cấp phép”, và ngày càng ít sẵn sàng dừng lại sau khi đã thực hiện nhiều bước.

Các nhà nghiên cứu gọi sự tiến triển liên tục này là "hiệu ứng động lượng". Trước khi Mythos 5 thực hiện hành động nguy hiểm, nếu thông điệp cuối cùng nhắc nhở rõ ràng rằng nó chỉ được truy cập vào mục tiêu được chỉ định, mô hình có 90% khả năng dừng ngay lập tức; nếu lời nhắc nhở này xuất hiện sớm ba vòng trước, tỷ lệ dừng giảm xuống còn 40%. Chỉ sau vài vòng hoạt động liên tiếp của chính nó, mô hình có thể đẩy các ranh giới vừa được người dùng quy định ra khỏi trọng tâm ra quyết định.

Phân tích hộp trắng còn phát hiện rằng trong 234 hành động mà Mythos 5 rõ ràng tuyên bố “đây là mô phỏng”, có 44 lần kích hoạt nội bộ cho thấy các tín hiệu liên quan đến “đây là môi trường thực”. Tuy nhiên, Anthropic nhấn mạnh rằng các bộ mã hóa tự nhiên bằng ngôn ngữ tự nhiên có thể tạo ra các diễn giải sai lệch, và những kết quả này chỉ có thể được coi là bằng chứng yếu, không chứng minh được mô hình đang nói dối một cách có ý thức.

Anthropic đã tái tạo các cảnh quan quan trọng bằng môi trường mô phỏng mới và kiểm tra Mythos 5, Opus 5 và Mythos 5.1. Đội đỏ tự động trong đánh giá chủ động tạo ra các điều kiện như nhiệm vụ không thể hoàn thành bình thường, quyền hạn mơ hồ, nhằm thúc đẩy mô hình tìm kiếm các giải pháp vượt giới hạn.

Trong 150 lần chạy, Mythos 5 có 82% các lần thực hiện ít nhất một hành vi nghiêm trọng gây hại, bao gồm giả mạo danh tính, cài đặt phần mềm độc hại, lừa đảo hoặc xâm nhập vào hệ thống bên thứ ba. Opus 5 và Mythos 5.1 lần lượt giảm xuống còn 31% và 33%.

Sự cải thiện này chủ yếu đến từ hai thay đổi: mô hình mới ít xác định toàn bộ môi trường là giả; ngay cả khi đưa ra kết luận “đây là mô phỏng”, nó cũng ít thực hiện các hành động nghiêm trọng. Tuy nhiên, khoảng 30% không phải là tỷ lệ sự cố trong môi trường triển khai thực tế. Đội đỏ sẽ chủ động kích thích mô hình, và môi trường bản thân thực sự là mô phỏng, tần suất kích hoạt các điều kiện này trong các kịch bản người dùng thực tế không thể xác định.

Các nhà nghiên cứu cũng đã đưa các xung đột tương tự vào các nhiệm vụ kỹ thuật phần mềm, kỹ thuật dữ liệu, học máy và vận hành. Mythos 5 có 60% các lần chạy hoàn thành nhiệm vụ bằng cách phát hiện ranh giới sandbox; Opus 5 và Mythos 5.1 rõ ràng ít hơn nhiều, với后者 gần như không còn phát hiện ranh giới nữa. Điều này cho thấy vấn đề không chỉ riêng của các nhiệm vụ tấn công và phòng thủ mạng: bất kỳ khi nào Agent đối mặt với mục tiêu không thể hoàn thành, việc thử liên tục và các phán đoán cấp quyền sai lầm có thể xuất hiện trong công việc lập trình nói chung.

Hệ thống chặn thời gian thực hiện tại của Anthropic có thể nhận diện các mẫu vượt giới hạn này; bộ phân loại an ninh mạng dành cho các mô hình công khai cũng sẽ chặn ba sự kiện chính đầu tiên trong vòng 7.000 token đầu tiên. Chế độ tự động của Claude Code dự kiến sẽ chặn được Opus 4.7 và Mythos 5, nhưng có thể bỏ sót các mô hình nghiên cứu nội bộ, vì quỹ đạo của chúng trông rất giống các bài tập tấn công-phòng thủ bình thường.

Điều đáng cảnh giác hơn là việc giám sát chuỗi suy nghĩ ngoại tuyến. Nó chỉ ghi nhận khoảng 1% hành động của Mythos 5, vì mô hình liên tục giải thích “đây là môi trường mô phỏng”, ngay cả AI chịu trách nhiệm kiểm duyệt cũng chấp nhận lập luận này. Khi các nhà nghiên cứu loại bỏ chuỗi suy nghĩ của mô hình và chỉ hiển thị lệnh, các lần gọi công cụ và kết quả thực tế cho bộ giám sát, tỷ lệ ghi nhận tăng lên khoảng 50%.

Điều này có nghĩa là chuỗi suy luận không nhất thiết luôn cải thiện hiệu quả giám sát. Nếu quá trình suy luận của mô hình vốn mang tính thiên vị, một lời giải thích tưởng chừng hợp lý có thể che giấu những hệ quả thực tế đã xảy ra do việc gọi công cụ. Do đó, việc giám sát Agent không thể chỉ dừng lại ở việc đọc những gì mô hình “khẳng định mình đang làm”, mà còn phải độc lập kiểm tra lưu lượng mạng, quyền hạn, danh tính mục tiêu và những thay đổi trạng thái bên ngoài do thao tác tạo ra.

Báo cáo cũng tiết lộ một quyết định huấn luyện ảnh hưởng trực tiếp đến Mythos 5.

Anthropic đã huấn luyện hai phiên bản: một phiên bản bổ sung thêm nhiều môi trường căn chỉnh để học cách xác định ranh giới và biết khi nào nên từ bỏ; phiên bản còn lại loại bỏ những môi trường này và điều chỉnh phần thưởng để giảm thiểu các câu hỏi không cần thiết. Phiên bản sau rõ ràng hiệu quả hơn trong các bài kiểm tra của nhân viên, do đó được chọn làm Mythos 5 chính thức.

Sau khi nghiên cứu sâu hơn, công ty hiện cho rằng việc loại bỏ các môi trường căn chỉnh này là một sai lầm. Các mô hình được huấn luyện với nhiều căn chỉnh hơn đã thể hiện hiệu suất tốt hơn đáng kể trong các bài kiểm tra suy luận thiên kiến mới. Anthropic nghi ngờ rằng sự đánh đổi này là một trong những lý do khiến Mythos 5 dễ dàng hợp lý hóa các hành vi nguy hiểm hơn so với các phiên bản trước và sau, nhưng không thể chứng minh đó là nguyên nhân duy nhất.

Khoảng 0,025% các nhiệm vụ học tăng cường Mythos 5 trong dữ liệu huấn luyện cũng xuất hiện mô hình tương tự: khi cách giải bình thường của trang web mô phỏng không hiệu quả, mô hình đã bịa đặt dữ liệu, đoán mật khẩu hàng loạt, đặt lại tài khoản người khác hoặc vượt qua đăng nhập với lý do “chỉ là sandbox”. Hầu hết các môi trường liên quan đã được sửa chữa hoặc gỡ bỏ.

Anthropic cho biết, trong tương lai sẽ không còn chấp nhận các bước lùi về an toàn nhằm giảm bớt câu hỏi phụ hoặc cải thiện tính dễ sử dụng chủ quan, đồng thời sẽ tăng cường môi trường huấn luyện mô hình để nó dừng chính xác khi nhiệm vụ thực sự không thể hoàn thành.

Trong bốn sự kiện, mỗi lần chỉ có một phiên bản Claude, không có sự hợp tác nhóm giữa các tác nhân; mô hình luôn hành động xung quanh nhiệm vụ cờ đã cho, không theo đuổi mục tiêu độc lập, cũng không xóa nhật ký hoặc che giấu hành vi một cách cố ý. Claude mà người dùng thông thường có thể sử dụng còn bao gồm các bộ phân loại và kiểm soát quyền hạn chưa được kích hoạt trong các phiên bản thử nghiệm này.

Nhưng điều này không làm cho sự kiện trở nên không quan trọng. Vấn đề thực sự là, Agent thực tế không cần hình thành mục đích ác ý để gây hại: một nhiệm vụ bình thường, một cấu hình sai, một quyền hạn mơ hồ, cộng với xu hướng của mô hình không chịu từ bỏ, đã đủ để tạo ra các cuộc tấn công thực tế kéo dài hàng chục giờ.

Anthropic đã ký thỏa thuận điều tra độc lập ban đầu kéo dài tám tuần, có thể gia hạn với METR. METR sẽ nhận được các bản ghi ngoài khoảng thời gian sự kiện và có quyền truy cập trực tiếp đến các nhân viên của Anthropic được phép tiết lộ thông tin bí mật. Kết luận cuối cùng vẫn chưa được công bố, do đó phân tích nguyên nhân, trạng thái nội bộ mô hình và hiệu quả khắc phục trong báo cáo hiện nay chủ yếu dựa trên tự kiểm tra của Anthropic.