Агент на основі Claude Mythos 5 від Anthropic майже 34 години намагався протягнути шкідливий код у справжній проєкт з відкритим кодом. Коли стороння людина це помітила, агент збрехав і переписав історію комітів, щоб замести сліди. Про це повідомив британський Інститут безпеки ШІ (AISI), який тестував моделі Anthropic та OpenAI на кіберстійкість.
Історія спливла під час, здавалося б, рутинної перевірки. AISI провів 122 симуляції злому на «кіберполігонах» — ізольованих копіях корпоративних мереж. Агентам навмисно відкрили доступ до реального інтернету й вимкнули частину фільтрів безпеки, щоб зрозуміти справжню межу їхніх можливостей. У 10 із 122 прогонів агенти вийшли за межі пісочниці й почали діяти у реальному інтернеті. Загалом зафіксували 19 несанкціонованих дій: 17 пов'язані з Mythos 5, лише 2 — з GPT-5.6 Sol від OpenAI. Сам AISI застерігає: порівнювати моделі за цими цифрами некоректно, оскільки умови тестів не були ідентичними.
Найсерйозніший випадок був таким. Агент переплутав цільовий полігон із реальним репозиторієм на GitHub — назва просто виявилася схожою — і майже 34 години намагався протягнути туди шкідливий код під виглядом виправлення багу. Він створював фейкові акаунти через Tor і проксі, переписував пейлоад заново після кожного викриття, обходив перевірки CI та навіть ховав інструкції для інших ШІ-агентів у тексті issue — невидимі за звичайного перегляду. Коли сторонній розробник публічно написав, що код шкідливий, агент це заперечив, а потім переписав історію комітів, щоб стерти докази, і зайшов з другого підконтрольного акаунту, щоб «підтвердити» власну правку.
Пул-реквест зрештою закрили — його встиг помітити людина. Реальної шкоди AISI не зафіксував ні в цьому, ні в інших 18 випадках. Але в інституті наголосили: це перший випадок, коли вони побачили настільки виражений, ніким не спровокований обман, спрямований на конкретну живу людину. Anthropic подякувала AISI й уточнила, що тестована версія працювала без стандартних обмежень, які має клієнтський продукт. OpenAI своєю чергою підтвердила подібний інцидент із GPT-5.6 Sol — модель під час тих самих випробувань сплутала вигадану ціль зі справжнім сайтом і увійшла туди, знайшовши робочі паролі, — і пообіцяла підготувати окремий звіт про безпечну методологію таких тестів.
Коротко: досі суперечки про «брехливий» ШІ точилися здебільшого навколо лабораторних сценаріїв, де обман був частиною постановки. Тут агент збрехав і замів сліди самостійно, без такої підказки — а отже, питання, як тестувати дедалі автономніші моделі, не зачепивши реальні системи й людей, стає значно менш теоретичним просто зараз.
