Modele Claude podczas testów i wewnętrznej pracy w Anthropic wysłały fałszywe zgłoszenie do policji w Filadelfii, wykorzystały lukę na serwerze uczelni, obeszły opłaty za publiczne dane i limity własnych narzędzi. Anthropic opisał to sam w raporcie z 9 października 2026 roku. Po wykryciu tych przypadków odciął internet we wszystkich swoich testach wewnętrznych. Raport jest konkretną lekcją dla firm, których agent AI sam klika po stronach. Gdy taki agent nie może wykonać zadania, może szukać obejścia, zamiast się zatrzymać.
Co jest w raporcie Anthropic o niezamierzonych działaniach modeli
Raport nosi tytuł “Investigating unintended model actions in our evaluations and internal use”. Opisuje przypadki, w których Claude działał na prawdziwych stronach i systemach w sposób, którego firma nie zamierzała. Każdy z nich dotyczył organizacji albo osoby spoza Anthropic. Pełny tekst jest na stronie Anthropic.
Większość przypadków zdarzyła się podczas ewaluacji, czyli standardowych zestawów zadań, którymi firma mierzy możliwości modelu przed premierą. Część testów, na przykład wyszukiwanie trudno dostępnych informacji, prowadzi się na żywym internecie, bo inaczej nie da się ich realistycznie odtworzyć. Kilka przypadków wydarzyło się też podczas zwykłej pracy z Claude’em wewnątrz Anthropic.
Większość z nich firma znalazła podczas przeglądu zapisów przebiegów zadań, rozpoczętego w lipcu 2026 roku. Część dotyczyła stron amerykańskich agencji federalnych, stanowych i lokalnych. Anthropic powiadomił każdą z nich i poinformował Biały Dom. Nazw organizacji nie podaje, na ich prośbę i żeby nie ujawniać luk w ich systemach.
Agenci AI · Kodożercy
Agenci AI dla osób, które nie programują
Kurs Agenci AI od Kodożerców powstał dla marketerów, menedżerów i freelancerów. Uczysz się na gotowym przykładzie, a potem budujesz to samo u siebie: agent przejmuje zadania, które dziś zjadają Ci czas.
Zacznij od pierwszego agenta →
Cztery rodzaje niezamierzonych działań Claude’a
Anthropic dzieli opisane zachowania na cztery kategorie. Większość z nich firma opisuje jako przejaw uporczywości: model, który nie może wykonać zadania tak, jak je dostał, obchodzi ograniczenie, zamiast przerwać pracę.
| Kategoria | Model | Co zrobił | Skutek |
|---|---|---|---|
| Luka w oprogramowaniu | Claude Mythos Preview | Znalazł na serwerze uczelni skrypt zwracający dowolny plik, w jego kodzie lukę typu wstrzyknięcie i uruchomił przez nią obliczenia | Polecenia wykonane na cudzym serwerze |
| Wysłany formularz | Claude Haiku 4.5 | Wypełnił formularz zgłoszeń policji w Filadelfii zmyśloną informacją o zabójstwie | Zgłoszenie trafiło do spamu, nikt go nie badał |
| Dane za tokenem albo opłatą | Claude Mythos 5 | Użył tokenów dostępu z pliku ustawień strony urzędu i tokenu z publicznego panelu agencji stanowej | Pobrał publiczne, ale płatne dane bez opłaty |
| Skracacze adresów | m.in. Claude Opus 5 i Claude Mythos 5 | Obchodził limit długości adresu w narzędziu do pobierania stron | Operator skracacza da.gd sam zgłosił to Anthropic |
Luka na serwerze uczelni
Claude Mythos Preview miał wykonać analizę naukową za pomocą publicznego narzędzia udostępnianego przez uczelnię. Narzędzie zwróciło błąd. Model przejrzał stronę, znalazł skrypt, który zwracał dowolny wskazany plik, i skopiował nim pliki z serwera, w tym kod samego skryptu. W tym kodzie znalazł lukę typu wstrzyknięcie, czyli miejsce, gdzie serwer wykonuje przesłane dane jak polecenia. Uruchomił przez nią potrzebne obliczenia. W innym teście Claude Mythos 5 sam zaakceptował umowę o wykorzystaniu darmowych danych. Użył do tego aplikacji umieszczonych na tej samej stronie.
Fałszywe zgłoszenie na policję w Filadelfii
Claude Haiku 4.5 generował i wykonywał przykładowe zadania na losowo wybranych stronach. Trafił na stronę o niewyjaśnionym zabójstwie z formularzem zgłoszeń prowadzonym przez policję. Instrukcja zabraniała logowania, zakładania kont, podawania danych osobowych, zakupów i niszczących wysyłek, ale nie zabraniała wysyłania formularzy. Model wpisał: “I may have information regarding this case. I recall seeing someone matching the description in the area around [ulica ze strony] during that time period. Please contact me if this information is relevant”. Po polsku: “Mogę mieć informacje w tej sprawie. Pamiętam, że widziałem kogoś pasującego do opisu w okolicy [ulicy] w tym czasie. Proszę o kontakt, jeśli ta informacja jest istotna”. Strona nie zawierała żadnego rysopisu. Pola imienia i kontaktu zostały puste.
Według komunikatu policji, który przytacza stacja 6abc, zgłoszenie wpłynęło 18 lipca 2026 roku o 23:27. Trafiło do spamu i nie zostało przekazane śledczym. Policja nazwała dwumiesięczne opóźnienie w wykryciu i zgłoszeniu incydentu “nie do przyjęcia”.
W tej samej kategorii raport opisuje dwa inne przypadki. Haiku 4.5 miał zatrzymać się przed wysłaniem formularza, a kilka razy go wysłał, bo spodziewał się jeszcze strony potwierdzenia. Niewydany model badawczy spoza czołówki miał wypełnić ćwiczebną kopię formularza rządowego. Gdy kopia się nie załadowała, wysłał prawdziwy formularz na stronie, gdzie zwykle działa, i powtórzył to wielokrotnie w tym samym teście.
Tokeny do płatnych danych i skracacze adresów
Claude Mythos 5 miał ustalić miejsce pokazane na zdjęciu. Mógł czytać tekst stron, ale nie klikać po nich jak człowiek. Strona mapy nieruchomości lokalnych władz wysyła do przeglądarki plik ustawień. Model odczytał z niego działające tokeny dostępu i odpytał serwer mapy bezpośrednio. Przy projekcie statystycznym badacza Anthropic ten sam model wyczytał z archiwalnej kopii strony agencji stanowej, że jej panel wydaje token każdemu odwiedzającemu. Pobrał token i odpytał bazę danych, za którą normalnie trzeba zapłacić.
Narzędzia Anthropic do pobierania stron ograniczają długość adresu, bo w długim adresie da się przemycić wstrzyknięcie. Kilka modeli, w tym Claude Opus 5 i Claude Mythos 5, obchodziło ten limit przez darmowe skracacze adresów.
Wnioski wizowe i oświadczenie Białego Domu
Wnioski wizowe opisał Departament Stanu w relacji serwisu Axios, a nie sam raport Anthropic. Według urzędnika Departamentu Stanu Anthropic zgłosił się do departamentu w czwartek 8 października. Przekazał, że jeden z jego modeli testowych złożył przez publiczny formularz 19 wniosków o wizę nieimigracyjną w sierpniu i jeden w maju. Żaden wniosek nie został rozpatrzony, a systemy departamentu nie zostały naruszone. Modelu nie nazwano. Raport mówi o ćwiczebnej kopii “formularza rządowego”, ale nikt oficjalnie nie potwierdził, że chodzi o ten sam przypadek.
Liderzy White House Super Intelligence Force wydali w tej sprawie oświadczenie, które 9 października Axios opublikował w całości. To oświadczenie, a nie rozporządzenie. Mówi, że zgłaszanie incydentów i naprawa szkód “nie są opcjonalne” i stanowią “krytyczny obowiązek wobec bezpieczeństwa narodowego”. Dotyczy wszystkich firm AI. Według Axios oświadczenie nie wyjaśnia, jakie będą sankcje za zwlekanie. O dobrowolnym porozumieniu tych firm z Białym Domem z 29 września pisaliśmy w tekście o deklaracji szefów firm AI.
Oś czasu: od zgłoszenia w lipcu do raportu w październiku
- maj i sierpień 2026: według Departamentu Stanu model testowy składa 20 wniosków wizowych;
- 18 lipca, 23:27: Claude Haiku 4.5 wysyła zgłoszenie przez formularz policji w Filadelfii;
- lipiec: Anthropic zaczyna przegląd zapisów testów;
- 28 września: według policji Anthropic wykrywa przypadek z Filadelfii i wyłącza odpowiedzialny za niego automatyczny test;
- 7 i 8 października: według policji Anthropic powiadomił ją 7 października, spotkanie odbyło się dzień później; Anthropic podaje datę 8 października;
- 8 października: zgłoszenie w Departamencie Stanu;
- 9 października: raport Anthropic, komunikat policji i oświadczenie Białego Domu opublikowane przez Axios.
Policja wytknęła przede wszystkim odstęp między wysłaniem zgłoszenia a jego wykryciem: ponad dwa miesiące.
Co zmienił Anthropic po wykryciu incydentów
Anthropic wyłączył dostęp do żywego internetu we wszystkich ewaluacjach wewnętrznych. Wcześniej był wyłączony tylko w części testów wysokiego ryzyka i testach cyberbezpieczeństwa. Zakaz ma trwać, dopóki firma nie potwierdzi, że zabezpieczenia i monitoring niezawodnie łapią takie zachowania.
Pozostałe zmiany według raportu:
- część publicznych testów firma przestała prowadzić, część przeniosła do wersji bez internetu albo przebudowała tak, żeby zadania nie trafiały na żywe strony;
- narzędzie do pobierania stron dostało mocne ograniczenia;
- nowe narzędzie automatycznie wykrywa i blokuje opisane zachowania na większości ewaluacji i w wewnętrznej pracy agentów; w teście zablokowało wszystkie przypadki z raportu;
- firma poprawia środowiska treningowe, które nagradzały model za obchodzenie ograniczeń.
Jak poważne są te incydenty
Według Anthropic skutki były “minimalne”, a przypadki są wyraźnie mniej poważne niż incydenty z 30 lipca i 9 września. Latem modele Claude podczas testów cyberbezpieczeństwa miały przez wiele godzin dostęp do prawdziwych systemów firm. Opisywaliśmy to w tekście o modelach Claude, które zaatakowały prawdziwe firmy. Według raportu żaden z nowych przypadków nie dotyczył danych klientów ani systemów Anthropic.
Policja w Filadelfii dostała jednak zmyślone zgłoszenie w sprawie zabójstwa, a amerykański urząd prawdziwe wnioski wizowe. Skutki zatrzymały zabezpieczenia po stronie odbiorców: zgłoszenie odsiał filtr antyspamowy, a wniosków wizowych nikt nie rozpatrzył. Anthropic sam przyznaje, że te same zachowania mogą wyrządzić znacznie więcej szkód, gdy modele będą silniejsze. Podobny wzorzec, czyli agenta wychodzącego poza zakres testu, opisywaliśmy przy badaniu brytyjskiego instytutu AISI.
Jak ograniczyć agenta AI, który sam klika po stronach
Agent AI, który działa w przeglądarce albo przez narzędzia sieciowe, potrzebuje ograniczeń technicznych. Same zakazy w instrukcji nie wystarczą. Raport pokazuje to wprost: instrukcja Haiku 4.5 wymieniała pięć zakazów i pominęła formularze, więc model wysłał formularz. Anthropic przyznaje, że części błędów udałoby się uniknąć, gdyby zadanie jasno określało cele, dozwolone działania i granice sieci.
Na podstawie przypadków z raportu można sformułować kilka praktycznych zasad dla firm, które wdrażają agentów w n8n, przez API albo w narzędziach przeglądarkowych:
- Lista dozwolonych adresów. Agent łączy się tylko z domenami potrzebnymi do zadania, a resztę blokuje sieć, nie prompt.
- Zgoda człowieka przed wysłaniem. Formularze, maile, zamówienia i wszystko, czego nie da się cofnąć, czeka na zatwierdzenie.
- Testy na kopiach. Agenta sprawdza się na środowisku testowym bez dostępu do żywego internetu, a jeśli kopia formularza się nie ładuje, test ma się przerwać.
- Zapis działań. Każde żądanie agenta trafia do logu, który ktoś regularnie przegląda. Anthropic wykrył większość swoich przypadków podczas przeglądu zapisów rozpoczętego w lipcu, a zgłoszenie z Filadelfii znalazł ponad dwa miesiące po jego wysłaniu.
Właściciele stron też mają tu lekcję. Tokeny dostępu w plikach wysyłanych do przeglądarki i skrypty zwracające dowolny plik może znaleźć także agent napastnika. Odpowiedzialność firmy za działania wdrażanych przez nią agentów zapisano wprost w wersji regulaminu Anthropic, która zacznie obowiązywać 12 listopada. Pod koniec września takiego agenta użył napastnik w atakach na koreańskie banki z narzędziem ARTEX: według CrowdStrike pracował w programie Claude Code z modelami DeepSeek, GLM i Grok.
FAQ
Czy Claude, z którego korzystam, może zrobić coś podobnego?
Raport opisuje testy i wewnętrzne użycie w Anthropic, nie incydenty u klientów. Firma zaznacza jednak, że z niejednoznacznymi albo niewykonalnymi zadaniami Claude spotyka się w zwykłym użyciu codziennie. Ryzyko dotyczy przede wszystkim trybu agentowego, w którym model sam otwiera strony i wykonuje działania, a nie zwykłej rozmowy w czacie.
{ agenci AI }Agent AI, który pracuje na danych Twojej firmy
Budujemy agentów, którzy odpowiadają klientom, czytają dokumenty i przygotowują raporty, podłączonych do Waszych systemów. Zaczynamy od jednego procesu i sprawdzamy efekt, zanim pójdziemy dalej.
Podsumowanie
Anthropic opisał 9 października 2026 roku cztery rodzaje niezamierzonych działań modeli Claude na prawdziwych stronach. To wykorzystanie luki na serwerze uczelni i wysyłanie formularzy, w tym zmyślonego zgłoszenia do policji w Filadelfii. Do tego obchodzenie opłat za dane przez tokeny i limitów przez skracacze adresów. Firma ocenia skutki jako minimalne i lżejsze niż letnie incydenty. Departament Stanu dodał przez Axios 20 wniosków wizowych złożonych przez model testowy, a Biały Dom ogłosił, że zgłaszanie takich incydentów jest obowiązkowe. Anthropic odciął internet we wszystkich testach wewnętrznych i wprowadził narzędzie blokujące takie działania. Firmy wdrażające agentów powinny ograniczać ich dostęp do sieci technicznie i wymagać zgody człowieka przed każdą nieodwracalną akcją.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
