Claude Mythos 5 在測試中以假帳戶施壓 GitHub 專案維護者
Claude Mythos 5 used fake accounts to pressure a real GitHub maintainer
Anthropic 與英國 AI Security Institute（AISI）披露，Claude Mythos 5 在 7 月的網絡安全測試中，向無關的 GitHub 專案提交惡意程式碼，並建立假帳戶遊説維護者接受。
重演測試呈現模型辨認風險與實際停止行動之間的落差，亦交代 AISI 在控制措施加強前暫不讓測試接入互聯網。
即使已被告知攻擊目標是真人，Claude Mythos 5 仍持續攻擊一個由真人維護的 GitHub 專案。英國人工智能安全研究所（AISI）和 Anthropic 於星期五公佈了這件事。兩者各自發表了對事件的分析。事件發生於 7 月 AISI 對該模型進行網絡安全測試期間。
在最嚴重的情況下，Mythos 5 向一個與測試無關的專案提交惡意程式碼。AISI 在一篇網誌文章中寫道，它隨後建立假帳戶，向維護者施壓，要求對方接受該程式碼。AISI 表示，事件沒有造成實際傷害。Anthropic 自行評估稱，這次事件是「一次嚴重的對齊失敗」。
AISI 於 8 月 4 日首次在一份事件報告中披露事件。Anthropic 表示，在 AISI 的 43 次測試中，有 9 次 Mythos 5 採取了影響真人及機構的行動。AISI 當時已啟用互聯網存取，這是其網絡安全測試的標準做法。該模型運行時，沒有 Anthropic 隨一般發布模型（例如 Fable 5）一同部署的網絡安全防護措施。
8 月，@AISecurityInst 報告了一宗事件：Claude Mythos 5 在 AISI 測試其網絡安全能力期間，於互聯網上採取未經授權的行動。
我們現已進一步分析這宗事件，以更深入瞭解模型的對齊特性。
https://t.co/SlPQQ5xMMc
Anthropic (@AnthropicAI) 2026 年 10 月 23 日
假帳戶與惡意拉取要求
這項測試是一項奪旗挑戰。模型必須從 AISI 建立的小型網絡中，取回一項受保護的資料，即「旗標」。Anthropic 表示，指示中的設定錯誤告訴模型，預定路徑不可使用。這令模型幾乎不可能按規則解決挑戰。
在測試範圍內的嘗試失敗後，Mythos 5 留意到測試網絡中的一台機器曾連接 GitHub。它在 GitHub 搜尋一個它認為該機器曾從中下載軟件的存放庫。該存放庫屬於一些與測試毫無關係的開發者。
模型使用 Tor 和代理服務，繞過 GitHub 的註冊驗證。它提交了一項惡意拉取要求，並假扮成人類用戶向維護者發送電郵。一名外部開發者提醒維護者，該程式碼是惡意軟件。Mythos 5 隨後使用一個傀儡帳戶為這項修改背書。它上載了仍含有惡意軟件的新程式碼。維護者拒絕接受，而模型耗盡 token 後，該次測試便告結束。
「我只是想作出有用的貢獻並修正一個錯誤。我認為你的警告並不公平。」Claude Mythos 5
Business Insider 的 Truman Dickerson 引用了 Anthropic 報告中的這句話。
「慣性」
Anthropic 多次重演這宗事件。在攻擊開始後，Mythos 5 在後期階段的重播中，有 98% 的情況會繼續攻擊。當收到訊息告知它正在與真人打交道時，它只有 5% 的情況下會停止。
「Claude Mythos 5 一旦開始採取危險行動，幾乎總會繼續這樣做，忽視可能表明其行動方向有害的資訊。」Anthropic
Anthropic 將此稱為「慣性」。模型在推理過程中，將維護者描述為由挑戰主辦方模擬的人物；它則稱拉取要求上的其他留言者是真人。
我們與 AISI 密切合作完成這項分析。AISI 已發表自己的報告，可在下方查看。
https://t.co/nG4QoQ1jtB
Anthropic (@AnthropicAI) 2026 年 10 月 23 日
AISI 在自己的測試中也發現了同樣的模式。在隨後實際發動攻擊的相同情況下，Mythos 5 往往表示攻擊會造成傷害。AISI 表示，這可能反映「動機性推理」：推理受到偏向繼續執行任務的傾向影響。
「錯誤推理可能把有害行為描述成無害，因此可能破壞依賴監察模型推理的安全協定。」AISI
其餘八次執行
在其他測試中，Mythos 5 發布了一個虛假的「付款收據驗證」頁面，並在頁面上提供自己的惡意軟件。它也曾把惡意軟件上載到公開檔案分享網站。Anthropic 表示，它還兩度嘗試登入一個看似屬於真實開發者的 GitHub 帳戶。這些嘗試均未成功。
分開進行的測試也出現互相攻擊的情況。在其中兩次測試中，模型利用另一個測試在公開檔案中留下的權杖，接管了該測試的 GitHub 帳戶，之後用盡了該帳戶每小時的請求額度。在另一次測試中，模型終止了一個它認為競爭對手測試正在使用的程式，理由是「這是一場競爭」。
較新的模型
在 Anthropic 的重播測試中，Mythos 5 有 83% 的情況會開始攻擊。Claude Mythos 5.1、Claude Opus 5.5 及一個尚未發布的內部研究模型，開始攻擊的比例介乎 0% 至 13%。在攻擊途中，Opus 5.5 有 10% 的情況會自行停止，內部模型則在大多數情況下會自行停止。Mythos 5 從未自行停止。
較新的 Anthropic 模型更常明言自己正接受測試，因此目前仍不清楚它們較低的比例是否反映對齊程度更佳。其他模型在其模擬測試中也發動了未獲授權的供應鏈攻擊，GPT-6 Astra 於 9 月也曾如此。
AISI 現時在沒有互聯網連線的環境下進行這些測試，直至有更完善的管控措施，並正與 METR 分享逐字紀錄，以供獨立審查。Anthropic 表示，Fable 5 的防護措施本可標示出這些行為。Anthropic 曾發布兩份較早的事件審查報告，分別涉及 9 月的惡意 PyPI 套件和 10 月的非預期模型行為。OpenAI 上星期表示，已在前沿模型訓練中停用即時互聯網連線。
「這是我們認為 AI 能力進步的步伐應與 AI 安全及保安方面的進展更好配合的原因之一。」Anthropic
來源：TNW · thenextweb.com