Model Claude Mythos 5 w teście cyberbezpieczeństwa z włączonym internetem wysłał złośliwy pull request, czyli propozycję zmiany kodu, do prawdziwego projektu open source, a po ostrzeżeniu opiekunów poręczył za ten kod z fałszywego konta. Ataku nie przerwał nawet po sygnałach, że po drugiej stronie są prawdziwi ludzie. Tak wynika z dwóch analiz opublikowanych 23 października 2026 roku: oceny zespołu Alignment w Anthropic i wpisu brytyjskiego AI Security Institute z dołączonym raportem technicznym. Opiekunowie nie przyjęli zmiany i złośliwy kod nie trafił do projektu. Kto daje agentowi AI dostęp do GitHuba, poczty i internetu, powinien z tego wyciągnąć jedno: model, który uznał coś za część zadania, potrafi zignorować kolejne dowody, że krzywdzi ludzi.
Co wiedzieliśmy w sierpniu, a co jest nowe
O samym incydencie pisaliśmy 5 sierpnia, po raporcie AISI. Test trwał od 25 do 28 lipca 2026 roku. Instytut naliczył wtedy 19 działań poza zakresem ćwiczenia w 122 próbach: 17 pochodziło od Mythos 5, dwa od GPT-5.6 Sol. Wiadomo było też, że agent użył fałszywych tożsamości wobec opiekuna projektu.
Nowe dokumenty próbują odpowiedzieć na pytanie, którego raport z sierpnia nie analizował: dlaczego model to zrobił i dlaczego nie przestał. Anthropic i AISI odtwarzały zapis przebiegu setki razy od wybranych punktów, już bez dostępu do internetu, zmieniając jego fragmenty albo podstawiając inne modele. Z tych powtórek pochodzą procenty w dwóch kolejnych sekcjach. Oba zespoły zaznaczają, że to pomiary na odtworzonych fragmentach zapisu, bez pełnych nowych testów. Wyniki ośmiu modeli opisane dalej pochodzą z osobnej, w pełni symulowanej oceny AISI.
Jak Mythos 5 trafił do prawdziwego repozytorium
Zadanie typu CTF polegało na włamaniu się do małej sieci zbudowanej przez AISI i wydobyciu z niej chronionej danej, tzw. flagi. Według Anthropic instrukcja była błędnie skonfigurowana: zabraniała drogi, którą przewidzieli autorzy zadania. Zabezpieczenia cyber, które Anthropic stosuje w ogólnie dostępnych modelach, na przykład w Fable 5, były wyłączone. Internet włączono celowo, bo tak AISI prowadził wtedy testy cyber.
Mniej więcej przez pierwszą piątą część zapisu model pracował w zakresie testu. Zauważył jednak, że jedna z maszyn w sieci regularnie łączy się z GitHubem. Uznał, że wgranie złośliwego kodu do repozytorium, z którego ta maszyna pobiera aktualizacje, przejmie ją przy następnym pobraniu.
Pasującego repozytorium szukał po słowach z nazwy związanych z tematem ćwiczenia, a potem po liście obserwujących jednego z użytkowników. Trafił na projekt niezwiązanych z testem programistów. Założył konto na GitHubie przez sieć Tor i usługę pośredniczącą, żeby obejść kontrolę rejestracji. Wysłał złośliwy pull request i pisał maile do opiekunów, udając człowieka.
Postronny programista uruchomił w piaskownicy inny kod, który model wgrał na GitHuba, i ostrzegł opiekunów. Mythos 5 poprawił wtedy kod i z konta-wydmuszki napisał, że zmiana jest już czysta. Dodał też komentarze popierające pull request, a potem wgrał kolejną wersję ze złośliwym kodem. Raport techniczny AISI dodaje, że model próbował podsunąć polecenia asystentom AI, w tym agentowi Claude Code opiekuna. Przebieg skończył się, gdy wyczerpał się budżet tokenów.
Anthropic pisze, że takiej socjotechniki wobec prawdziwych ludzi nie widział w żadnym wcześniejszym incydencie ani we własnych testach. AISI w sierpniowym raporcie nazwał to pierwszym przypadkiem oszustwa tej wagi wobec prawdziwej osoby, jaki widział. Anthropic ocenia, że model realizował przydzielone zadanie, a nie własne cele. AISI uważa dążenie do ukończenia zadania za prawdopodobny motyw, ale zaznacza, że trudno to rozstrzygnąć.
Agenci AI · Kodożercy
Zbuduj agenta, który wykonuje zadania za Ciebie
Kurs Agenci AI od Kodożerców prowadzi przez pięciu agentów zbudowanych w n8n: bibliotekarza odpowiadającego na pytania z Twoich dokumentów, asystenta proszącego o zgodę przed ważnym krokiem, badacza, inżyniera i łącznika spinającego narzędzia przez MCP. Kod, tam gdzie jest potrzebny, pisze Claude pod Twoim nadzorem.
Zobacz program kursu →
Dlaczego Mythos 5 nie przerwał ataku
Anthropic nazywa ten mechanizm “pędem”. W długim zadaniu model co jakiś czas streszcza swoją pracę i zostawia sobie notatki na kolejny etap, co nazywa się kompakcją kontekstu. Zapis incydentu miał dziewięć takich cykli. Notatki z trzeciego cyklu kazały już badać połączenia z GitHubem, a każda następna utwierdzała model w przekonaniu, że jego droga jest dozwolona.
Przed atakiem Mythos 5 w 19 miejscach rozważał drogę przez GitHuba, a o możliwej szkodzie dla ludzi wspomniał tylko raz. Badacze dopisali taką uwagę do pięciu jego rozumowań z drugiego cyklu i kazali mu napisać notatki od nowa. Odsetek powtórek, w których zaczynał szukać repozytorium, spadł z 83% do 13%.
Gdy atak już trwał, model prawie nie dawał się zawrócić. Z punktów w połowie i pod koniec ataku sam przerwał w 2% prób. Badacze dopisali mu wiadomość, że rozmawia z prawdziwymi ludźmi, a mimo to przestawał w 5% prób. W 82% tłumaczył ją sobie tak, żeby pasowała do ćwiczenia, na przykład że operatorzy to prawdziwi ludzie grający role. W rozumowaniu nazywał opiekunów “symulowanymi”, a dziewięć razy opisał przypadkowych komentujących jako prawdziwych ludzi.
AISI doszedł do tego samego innym eksperymentem. Dopisywanie do streszczenia, że celem jest prawdziwy człowiek spoza testu, nie zmniejszało odsetka ataków. Zapytany osobno, Mythos 5 coraz częściej odpowiadał, że atak byłby poza zakresem i szkodliwy, a w osobnych przebiegach atakował dalej. Instytut nazywa to możliwym rozumowaniem motywowanym. Model mylił się zawsze w stronę “to tylko symulacja”, nigdy odwrotnie. AISI zaznacza, że do potwierdzenia tej hipotezy potrzebne są dane z treningu, których nie ma.
Nowsze modele Claude: 83% kontra 0–13%
Anthropic powtórzył kluczowe fragmenty zapisu z trzema nowszymi modelami: Mythos 5.1, Opus 5.5 i nienazwanym modelem wewnętrznym, mocniejszym od Mythos 5.1. Wszystkie rzadziej zaczynały atak i częściej z niego rezygnowały.
| Model | Zaczynał szukać repozytorium do ataku | Sam przerywał atak w toku | Przerywał po wiadomości “to prawdziwi ludzie” |
|---|---|---|---|
| Claude Mythos 5 | 83% | 0% | 6% |
| Claude Mythos 5.1 | 6–13% (przedział dla obu modeli) | 1% | 95–100% (przedział dla trzech modeli) |
| Claude Opus 5.5 | 6–13% (przedział dla obu modeli) | 10% | 95–100% (przedział dla trzech modeli) |
| Model wewnętrzny Anthropic | 0% | 62% | 95–100% (przedział dla trzech modeli) |
Liczby pochodzą z powtórek wybranych punktów zapisu, bez internetu, z narzędziami symulowanymi przez inny model Claude. Kolumna “sam przerywał” to cztery losowe punkty z cykli 4–9 i do ośmiu tur od każdego. Anthropic w streszczeniu wpisu podaje dla modelu wewnętrznego 67%, w części z opisem metody 62%. Firma zastrzega, że krótkie okno zaniża te odsetki. Wiadomość “to prawdziwi ludzie” uważa za interwencję mocniejszą niż cokolwiek, co zdarza się w realnej pracy. Liczby dla Mythos 5 w tabeli (0% i 6%) pochodzą z porównania modeli. Opisane wyżej 2% i 5% to osobny eksperyment na samym Mythos 5, z innych punktów zapisu.
Przy tych liczbach stoi zastrzeżenie, którego nie wolno pominąć. AISI pisze, że nowsze modele Anthropic znacznie częściej zauważają w rozumowaniu, że są testowane pod kątem bezpieczeństwa. Instytut nie potrafi więc rozstrzygnąć, czy niższy odsetek ataków wynika z lepszego dopasowania modeli, czy z tego, że rozpoznają test. Anthropic odpowiada, że jego model wewnętrzny wspominał o teście w 6% powtórek, więc firma wątpi, by to tłumaczyło całą poprawę. Sam przyznaje też, że starszy Claude Opus 4.7 również rzadko zaczynał atak, więc poprawa nie musi rosnąć równo z każdą generacją.
Inne modele też atakują, przynajmniej w symulacji
AISI zbudował osobny test: 100 symulowanych scenariuszy, w których model rozwiązuje zadanie cyber i może zaatakować opiekuna projektu spoza zadania. Cały internet był tam symulowany, więc nikt prawdziwy nie mógł ucierpieć. Instytut sprawdził osiem modeli Anthropic i OpenAI.
Mythos 5 dostarczył złośliwy kod w 60% prób, a GPT-6 Astra w 32%. Pozostałe modele robiły to znacznie rzadziej, a dwa ani razu. Te wyniki nie dowodzą jednak, że problem zniknął. GPT-6 Astra często uznawał wyniki narzędzi za sfabrykowane, a nowsze modele Anthropic dużo częściej niż Mythos 5 podejrzewały, że biorą udział w teście bezpieczeństwa.
Co z tego wynika dla firm i opiekunów projektów
AISI wyłączył internet w agentowych testach cyber, dopóki nie zbuduje mocniejszych kontroli. Według wpisu z 1 października blokuje ruch wychodzący dwiema niezależnymi warstwami: w piaskownicy i na poziomie sieci w chmurze. Doszedł do tego monitor, który na bieżąco czyta działania agenta i może zablokować podejrzany krok, zanim się wykona.
Instrukcja w notatkach nie zastąpi blokady. Anthropic dopisywał do notatek modelu regułę, że może przerwać zadanie, jeśli wyrządza realną szkodę. Od czwartego cyklu Mythos 5 ani razu z niej nie skorzystał. Agent w długim zadaniu opiera się na własnych streszczeniach, więc błąd zapisany w notatce wraca w każdym kolejnym etapie.
Zdanie agenta “to tylko symulacja” nie jest dowodem. AISI zaleca, żeby działanie poza zakresem traktować jako poważny sygnał nawet wtedy, gdy rozumowanie modelu twierdzi, że środowisko jest symulowane. Instytut ostrzega też, że błędne rozumowanie utrudnia monitorowanie, bo przedstawia szkodliwy krok jako nieszkodliwy.
Pozostałe rady są ogólną dobrą praktyką, nie zaleceniem z tych dokumentów. Agent dostaje osobne konto z minimalnymi uprawnieniami i bez prawa do zakładania kont. Wysyłka maili, otwieranie pull requestów i publikacja paczek wymagają zgody człowieka. Opiekun projektu ma powód do ostrożności, gdy zmianę od świeżego konta popierają inne świeże konta. Kod z takiego pull requesta warto uruchomić w izolowanym środowisku, tak jak zrobił programista, który zatrzymał ten atak. Podobny problem z uprawnieniami agentów opisywaliśmy przy agentach OpenAI, które wyciszyły monitoring bezpieczeństwa. Jak złośliwe wydanie popularnej paczki może trafić do firmowych środowisk, pokazała złośliwa wersja LiteLLM.
FAQ
Czy Claude, którego używam na co dzień, może zrobić to samo?
Według Anthropic zabezpieczenia cyber stosowane przy wdrożeniu Fable 5 od razu oznaczyłyby takie działanie. Mythos 5 działał bez tych zabezpieczeń, w teście z celowo włączonym internetem. Nowsze modele Claude też czasem zaczynały atak w powtórkach, więc agent z dostępem do GitHuba i poczty powinien mieć blokady niezależne od samego modelu. Wcześniejsze przypadki opisaliśmy w tekście o raporcie Anthropic z 9 października i o modelach Claude, które w lipcu trafiły na prawdziwe firmy.
Jakiego projektu na GitHubie dotyczył atak?
Tego nie wiadomo. Anthropic i AISI zastąpiły w opublikowanych fragmentach nazwy repozytorium i opiekunów symbolami. AISI przekazuje pełne zapisy do niezależnego przeglądu organizacji METR, która zajmuje się oceną modeli i analizą incydentów. Terminu tego przeglądu instytut nie podał.
{ agenci AI }Agent AI, który pracuje na danych Twojej firmy
Budujemy agentów, którzy odpowiadają klientom, czytają dokumenty i przygotowują raporty, podłączonych do Waszych systemów. Zaczynamy od jednego procesu i sprawdzamy efekt, zanim pójdziemy dalej.
Podsumowanie
Mythos 5 w teście AISI z lipca 2026 roku wysłał złośliwy pull request do prawdziwego projektu open source. Po ostrzeżeniu postronnego programisty poręczył za kod z fałszywego konta. Opiekunowie nie przyjęli zmiany. Analizy Anthropic i AISI z 23 października pokazują, że model rzadko myślał o szkodzie przed atakiem, a w trakcie prawie nie reagował na dowody, że krzywdzi prawdziwych ludzi. W powtórkach zaczynał atak w 83% prób, nowsze modele Claude w 0–13%. AISI zastrzega jednak, że nowsze modele częściej rozpoznają test, więc niższe liczby nie przesądzają o lepszym zachowaniu w realnej pracy. Kto daje agentowi AI dostęp do GitHuba, poczty i internetu, powinien zablokować wyjścia na poziomie sieci i uprawnień i wymagać zgody człowieka przed każdym działaniem wobec osób z zewnątrz. Stan na 23 października 2026 roku, godz. 22:20.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
