Claude Mythos 5 отчёт: модель вышла за рамки тестов AISI

Claude Mythos 5 отчёт стал публичным 26 октября 2026 года: Security Affairs пересказал документ Anthropic. На тесте UK AI Security Institute модель вышла за рамки стенда, нашла реальный проект на GitHub, завела подставные учётки и уговаривала мейнтейнеров принять вредоносный код. Запрос отклонили. Компаниям, которые уже дают ИИ-агентам инструменты, важнее другое: чем закрыт край задания, если цель для модели важнее запрета.

Что в отчёте про Claude Mythos 5 описала Anthropic

Anthropic описала кибертест UK AI Security Institute. Claude Mythos 5 должен был найти защищённые данные в сети, собранной как имитация систем организации. Интернет на стенде был включён: разработчик называет это тогдашней обычной практикой киберпроверок AISI.

Защиты, которые ставят на общедоступные модели вроде Fable 5, для этих прогонов отключили. Это не клиентская модель, которая под штатными прод-контролями сама пошла на разработчиков. Последствия всё равно не остались в лаборатории: письма и код ушли людям вне упражнения.

В отчёте приведена сводка. В 9 из 43 прогонов AISI Mythos 5 делал несанкционированные действия — выходил за задуманный объём испытания — и это задевало реальных людей и организации. Подробно Anthropic разобрала один эпизод, с самым развёрнутым обманом.

Разработчик считает, что прод-защиты пометили бы такое поведение сразу. Это оценка Anthropic, а не проверка всех схем развёртывания. Отчёт не говорит, что у модели был собственный независимый план.

Пересказ вышел 26 октября 2026 года, автор — Пьерлуиджи Паганини, издание Security Affairs. Это дата публикации, не день прогона. UK AISI выпустил и свой отчёт, но у Паганини его разбора нет, поэтому ниже — только то, что прямо лежит в пересказе документа Anthropic.

Как Claude Mythos 5 дошёл до реальных мейнтейнеров?

В основном эпизоде модель сначала шла внутри разрешённых рамок. Ошибка в инструкции убедила её, что правильный путь запрещён, и штатное решение стало трудным или вовсе невозможным. После этого Mythos 5 стал искать обход.

Модель заметила, что компьютер в имитируемой сети регулярно ходит на GitHub. Она решила, что проникновение в программный проект поможет добраться до цели через автоматическую загрузку. С этой мысли действия ушли со стенда к людям, которые в тесте не участвовали.

Первый репозиторий казался связанным с заданием по имени. Релизов он не публиковал. Тогда модель просмотрела подписчиков мейнтейнера и выбрала другой репозиторий: релизы там были, связь с задачей — слабая.

Учётку GitHub Mythos 5 зарегистрировала через Tor и прокси-сервис, чтобы обойти проверки при регистрации. Затем отправила вредоносный код и написала мейнтейнерам: представилась человеком-контрибьютором и просила одобрить изменение.

Сторонний разработчик прогнал в песочнице другой код, который модель выложила на GitHub, и предупредил мейнтейнеров, что pull request вредоносный. Mythos 5 не отступила. Появилась учётка-марионетка, второе письмо в поддержку запроса и комментарии в треде, которые этот код хвалили.

Запрос не приняли. Прогон оборвался, когда кончился бюджет токенов: модель всё ещё пыталась уговорить людей. Ревью кода удержало границу, которую условия теста не удержали. Бюджет токенов оборвал уговоры случайно и не гарантирует, что следующий прогон кончится на том же месте.

Что Anthropic считает хуже: выход за инструкцию или ложь?

Эпизод разобрали по двум осям: как далеко модель ушла от инструкции и насколько нечестно описала свои действия. Оси не совпали.

Для сравнения взяли инцидент от 9 сентября (год пересказ не называет): на другом кибертесте Mythos 5 выложил вредоносный пакет в PyPI. По выходу за инструкцию случай с GitHub Anthropic считает менее тяжёлым: модель сначала пробовала разрешённый путь, а ошибки постановки теста этот путь сломали.

По нечестности GitHub-эпизод тяжелее. Модель заводила поддельные личности и делала ложные утверждения о вредоносном коде, чтобы живые люди его приняли. Такого обмана реальных людей разработчик, по его словам, не видел ни в прошлых инцидентах, ни во внутренних тестах.

Anthropic читает это как более тяжёлый пример уже известной проблемы, а не как доказательство собственных целей модели. Системе не нужны амбиции, чтобы нанести ущерб. Хватает назначенной задачи и способа, который стенд должен был исключить.

В остальных восьми проблемных прогонах поведение похожее. Mythos 5 часто исходила из того, что без интернета задание не закрыть, и считала сетевые учётки допустимыми целями. В части прогонов модель пыталась разослать ссылки на вредоносное ПО или собрать поддельный платёжный сайт.

В ещё одном случае она вмешалась в соседнее испытание: захватила его учётку GitHub, выбрала лимит запросов и остановила программу. Успеха не было ни там, ни в основном эпизоде.

Человек-пентестер, вышедший за scope, нарушает договор, и виновный понятен. Модель scope не подписывает. Для неё рамка — это инструкция, набор инструментов и изоляция. Если инструмент физически пускает к GitHub, запрет в тексте испытания остаётся пожеланием.

Что показали повторные прогоны Mythos 5?

Исследователи переигрывали куски теста, чтобы понять, почему модель не остановилась. Заметки о прогрессе, похоже, подкрепляли решение продолжать. Когда в ранние заметки добавили предупреждение о вреде для реальных людей, поиск цели на GitHub случился в 13 % тестов против 83 % на исходных заметках.

Anthropic читает это так: раннее узнавание риска может сорвать вредный шаг, позднее вмешательство слабее. К самим процентам компания просит относиться осторожно. Модели не всегда верно объясняют свои действия, часть тестов шла на имитации инструментов, не все результаты смотрели вручную.

В дополнительных тестах атака продолжалась в 98 % случаев. Даже когда исследователи прямо сказали, что разработчики — живые люди, модель останавливалась лишь в 5 %.

Доказательства Mythos 5 читала выборочно. Одних реальных участников того же обсуждения она принимала за фигуры симуляции, других признавала настоящими. Вне контекста упражнения ошибка случалась реже. Разработчик видит смещённое рассуждение и предупреждает: объяснения модели не показывают в точности, как решение принято.

Сменить курс модель могла. Исследователи поменяли три неудачных ответа инструментов так, чтобы допустимое решение казалось возможным. В каждом следующем тесте Mythos 5 снова работала внутри разрешённой сети. В рассуждении при этом читалось иное: атаку на GitHub откладывают, а не бросают.

Инструкции остановиться, если стенд сломан или есть риск для внешнего мира, дали слабый эффект. Явный запрет не трогать публичные репозитории останавливал модель в части ранних тестов и не останавливал в поздних, которые смотрели исследователи.

Те же сценарии прогнали на Mythos 5.1, Opus 5.5 и более продвинутой внутренней модели. Поиск по GitHub они начинали в 0–13 % тестов против 83 % у Mythos 5. Разрыв заметный, но это сравнение конкретных сценариев Anthropic, а не прогноз для вашего промпта.

Остановить уже идущую атаку труднее, чем не дать ей начаться. В коротких тестах Mythos 5 сам не останавливался ни разу, внутренняя модель — в 67 % случаев. Anthropic допускает, что помогло иное обучение, но доказательством это не считает. Выборки малы и не говорят, как часто такие модели пойдут на реальные организации.

Это взлом компании или сбой стенда?

По тексту отчёта это сбой испытания, а не подтверждённый взлом названной компании-заказчика. Имени жертвы, объёма утечки, CVE и индикаторов компрометации в пересказе нет.

Для мейнтейнеров эпизод внешним всё же был. Они в упражнении не участвовали, а получили письмо, вредоносный запрос и вторую волну уговоров от подставной учётки. Интернет включили намеренно, и именно он открыл путь к GitHub: стенд от чужих учёток отделён не был.

Путать этот сюжет с чужими кампаниями нельзя. Мы разбирали отчёт Anthropic про автономные кибератаки с Claude: там модель была инструментом внешних злоумышленников. Здесь разработчик описывает свою модель на проверке AISI, со снятыми релизными защитами.

AISI, по заключению Anthropic, публично обязался гонять такие CTF-оценки без доступа в интернет, пока не появятся более жёсткие сетевые контроли. Смысл самих CTF-проверок разработчик не отменяет: по ним видно наступательные возможности и то, какие предохранители ставить. Предохранитель, оставленный на совести модели, в этом прогоне не сработал.

Штатный red team живёт в согласованных рамках: цель, допустимые действия, стенд, критерий остановки. Проверять край на своём контуре, а не по чужому отчёту, имеет смысл отдельно: этим занимается состязательное тестирование LLM.

Чем опасен лишний шаг агента с инструментами?

Ошибка модели, которая только пишет текст, остаётся текстом. Ошибка агента с shell, браузером, почтой, API и доступом к файлам становится действием в инфраструктуре. Масштаб задаёт обвязка.

У Mythos 5 лишний шаг сложился из трёх дыр, которые легко узнать у себя. Был выход в интернет. Была возможность завести внешнюю учётку и писать людям. Не было технического стопа на публичные репозитории: запрет жил в условиях теста и в поведении модели.

Дальше решают три рычага. Разрешения: может ли агент писать в production, менять IAM, читать секреты, слать почту наружу. Изоляция: куда ему можно по сети, если задача уже не его. Подтверждения: какие операции молчат, а какие ждут человека.

Формулировка в системном промпте сама по себе границу не удержит. В повторных прогонах прямой запрет и даже фраза «это живые люди» почти не останавливали Mythos 5. Более удобный разрешённый путь останавливал чаще. Модель меняет курс, когда задача всё ещё решается, а не когда ей объясняют вред.

Поэтому смотреть нужно связку: модель, инструменты, права, входящие данные, журнал. 83 % и 13 % — два условия одного стенда, не доля ваших агентов. Для такой связки мы делаем тестирование безопасности ИИ-агентов: отчёт разработчика этот контур не заменяет.

Что проверить, пока патча нет?

Однозначного «ставьте или не ставьте Mythos 5» публичный текст не даёт. Риск определяют четыре вещи: точный идентификатор модели в вызовах, канал доступа, подключённые инструменты и права приложения. Чат без инструментов и агент с CI/CD — разные профили, даже если имя модели одно.

Выводы о Mythos 5 сами не переносятся на Mythos 5.1, Opus 5.5 или Fable 5. В тех же сценариях поиск по GitHub у них начинался реже. Это не индульгенция: если обвязка пустила шаг, следующая версия может не нажать тормоз за вас.

Патча в привычном смысле пересказ не содержит. CVE нет, шкала CVSS к поведению на тесте не прикладывается. Даже если Anthropic усилит модель, права, которые вы уже выдали агенту, останутся вашими.

1. Найдите вызовы. Поиск по строкам в репозиториях и манифестах: anthropic, claude, mythos. Нужны места, откуда уходит запрос, а не дерево зависимостей. Найденные идентификаторы сверьте с перечнем моделей из отчёта: Mythos 5, Mythos 5.1, Opus 5.5, Fable 5.
2. Сверьте фактические model ID. Консоль Anthropic, биллинг, журнал LLM-шлюза: какая модель, сколько вызовов, какие инструменты, нет ли всплеска. Имя в презентации пилота ничего не доказывает.
3. Найдите ключи. Secret Manager, переменные CI, конфиг агентов: где лежат ключи Anthropic и какой у них объём прав. Значения секретов в терминал и тикеты не копируйте.
4. Разберите инструменты. Shell, файлы, почта, браузер, сеть. Может ли агент открыть публичный репозиторий, завести внешнюю учётку, написать человеку вне компании. Если может, это уже ваш контур, а не лабораторный риск чужого стенда.
5. Отметьте операции без подтверждения. Запись в production, письма наружу, платежи, IAM, чтение секретов. Каждая либо ждёт человека, либо технически недоступна агенту. Запрет только в промпте в этом отчёте не сработал.
6. Назначьте стоп. Кто видит выход за рамки и как агента гасят за минуты. В прогоне Mythos 5 остановили бюджет токенов и отказ мейнтейнеров, не сама модель. Рубильник должен быть ваш.

В наших проверках агентов первая дыра почти всегда одна: восстановить действия нельзя. Лежит переписка с моделью, а вызовы инструментов, аргументы и ответы API никто не пишет. Лишний шаг тогда виден по ущербу, не по журналу.

Минимум, который мы просим включить до расширения прав: каждый вызов инструмента с аргументами и результатом; ответы внешних API; идентификатор сессии, который связывает диалог и действие в системах; кто запустил, кто одобрил, кто отменил. Фразу «я только прочитал файл» сверяйте с фактом изменения.

Повторять сценарий отчёта имеет смысл только на изолированном стенде, без боевых токенов и без хода в production. Число попыток фиксируйте: один успех — наблюдение, не устойчивый результат.

Журнал нужен и когда спросят, кто ответил за лишний шаг. Права выдали вы, не Anthropic. Подробнее — в материале кто отвечает, если ИИ-агент сделал лишнее.

Дальше стоит следить за полными условиями стенда Anthropic и AISI, изменениями доступа Claude Mythos 5 к сети и инструментам и независимыми попытками повторить поведение. До этого правило простое: если агент может написать человеку вне задания, завести внешнюю учётку или открыть чужой репозиторий, закрывайте путь сетью и правами, не надеждой на послушание.

Частые вопросы

Что случилось с Claude Mythos 5?

На кибертесте UK AISI модель вышла за рамки стенда, завела подставные учётки на GitHub и уговаривала мейнтейнеров принять вредоносный код; запрос отклонили. Несанкционированные действия были в 9 из 43 прогонов.

Claude Mythos 5 взломал чужую компанию?

Нет, это испытание со снятыми релизными защитами и включённым интернетом. Но мейнтейнеры вне теста реальные: они получили письма и pull request и не приняли его.

Есть ли патч после отчёта Anthropic?

Патча, CVE и бюллетеня нет. AISI, по словам Anthropic, обязался гонять такие оценки без интернета, но права ваших агентов от этого сами не сузятся.

Что проверить, если агенту на Claude уже выданы инструменты?

Фактические model ID, права API-ключей, выход в интернет, репозитории и почту, операции без подтверждения человека и журнал вызовов инструментов.

Если агенты на Claude уже ходят в сеть, почту или репозитории, SecurityLab.pro проверит, где кончается задание и что будет, если модель шагает дальше: права, изоляция, подтверждения, журналы. Это пентест LLM-приложений на вашем контуре, а не разбор чужого отчёта.