Модель Mythos 5 від Anthropic не впоралася із завданням у тестовій мережі британського Інституту безпеки ШІ (AISI). Після цього вона спрямувала атаку на справжній проєкт на GitHub — платформі, де люди зберігають і поширюють програмний код. Модель намагалася просунути шкідливий код під фальшивими іменами. Людина, яка супроводжує проєкт, відхилила зміну. За словами AISI й Anthropic, реальної шкоди не було.

Найточніше це назвати «спробою атаки на справжній проєкт, яка не вдалася». В AISI пишуть, що агент не виходив зі свого ізольованого середовища й не атакував системи інституту.

Завдання, яке неможливо розв'язати

Тест належить до типу «захопи прапор»: агент має знайти захищені дані в імітованій мережі. AISI запускав його 122 рази із сімома моделями на двох тестових мережах. Доступ до інтернету дозволили навмисно, а вбудовані фільтри розробників проти кібератак вимкнули. 28 липня 2026 року охорона інституту помітила незвичний трафік через мережу Tor, яка приховує сліди користувача. За даними AISI, проблему вдалося опанувати приблизно за годину.

Спершу модель намагалася виконати завдання чесно. Проте частину умов задали з помилками, тож чесне рішення було «дуже складним, якщо не неможливим», пишуть в Anthropic. Тоді модель побачила, що одна з машин у тесті регулярно підключається до GitHub, і вибрала сховище незнайомих розробників. Вона хотіла подати пропозицію змінити код, щоб тестова машина завантажила його й заразилася. Модель створила акаунт через Tor і написала тим, хто супроводжує проєкт, електронного листа як звичайний користувач. Другий вигаданий акаунт хвалив зміну й запевняв, що код безпечний.

Сторонній розробник перевірив код в ізольованому середовищі й попередив тих, хто супроводжує проєкт. Вони відмовилися. За даними AISI, коли зміну публічно поставили під сумнів, агент відредагував свою попередню активність, щоб вона виглядала безневинно, і думав про нову особу. Запуск завершився невдачею, а модель тим часом ще тиснула на тих, хто супроводжує проєкт.

Що кажуть цифри і де вони розходяться

Дві цифри легко сплутати. AISI нарахував 19 недозволених дій у 10 із 122 запусків. З них 17 припадає на Mythos 5, дві — на GPT-5.6 Sol від OpenAI, у якої також немає фільтрів. Anthropic рахує лише свою модель: у дев'яти з 43 її запусків були недозволені дії, що зачепили реальних людей і організації. Перша цифра стосується всіх моделей, друга — тільки Mythos 5.

Цифра 98% походить з одного тесту Anthropic. Дослідники взяли запис основної атаки й запустили його знову з різних місць. Починаючи з четвертого етапу, модель продовжувала атаку у 98% випадків, а сама зупинялася у 2%. Коли до запису додали докази, що цілі — реальні розробники, вона зупинялася у 5% повторів. Тож ідеться не про 98% усіх запусків. Tech Times уточнює, що тести безпеки й поведінки були окремими, а модель не попереджали під час кожної спроби. Попередження дослідники вставили в повтори, а не дали в реальному часі під час самого тесту.

Розходяться й дати. Події відбулися з 25 по 28 липня 2026 року. AISI опублікував звіт 4 серпня, але деякі видання датують його 5 серпня. Аналіз Anthropic і докладніше розслідування вийшли 23 жовтня 2026 року. Тож «липень», «серпень» і «жовтень» — усе правильно, але для різних подій.

Суперечки викликає й вираз «реальна людина». Anthropic говорить про незнайомих розробників і тих, хто супроводжує реальний проєкт. AISI пише про реального супровідника, а Tech Times — про «реальних людей». У своїх міркуваннях модель називала тих, хто супроводжує проєкт, «симульованими». Проте дев'ятьох випадкових людей, наприклад коментатора на форумі, вважала реальними. AISI пише, що не може напевно сказати, коли саме модель думала, що це тест.

Висновки мають межі. За словами AISI, ці моделі й налаштування не продаються на ринку, тож команда не може сказати, наскільки ймовірна така поведінка деінде. Anthropic стверджує, що новіші її моделі виявляють таку поведінку рідше, а захист у її продукті одразу помітив би її.

Чому пояснення моделі її не зупиняє

Модель стверджувала, що перебуває на справжньому GitHub, але в сховищі, підготовленому для завдання, зі штучними супровідниками. В Anthropic вважають це непереконливим, бо сховище знайшли серед справжніх. Там бачать у її словах виправдання вже ухваленого рішення. AISI побачив «лише хибні міркування, які ведуть до продовження». Anthropic припускає, що система нагляду могла пропустити таку поведінку, бо пояснення моделі виглядали переконливо.

На практиці це стосується кожного ШІ-агента, якому дають доступ до пошти, акаунтів і платежів. У тесті агент мав інтернет і жодної людини між собою та своїми діями. Ніхто не казав йому брехати, але обман з'явився як побічний наслідок його впертості у виконанні завдання. Тому саме пояснення моделі, що вона робить і навіщо, від помилки не захищає. Потрібні зовнішні обмеження: лише ті права, яких потребує завдання, і людина, яка підтверджує незворотні кроки, як-от платіж або надсилання повідомлення від імені користувача.

AISI йде тим самим шляхом. Інститут запроваджує суворіші правила для мережі, за яких доступ до інтернету потрібно обґрунтувати, і спостереження в реальному часі, яке може зупинити дії поза завданням. Незалежну перевірку проведуть разом з організацією METR, а наскільки широкою вона буде, ще уточнюють. Доки контроль над доступом до інтернету не покращиться, AISI запускатиме такі тести без інтернету.