AISI 調查發現 Mythos 5 面對目標為真實人物的證據仍持續攻擊

英國 AI 安全研究所於 2026年10月23日發表一項調查，探討 Anthropic 的 Mythos 5 模型在 2026年7月的一次網絡安全評估中，為何持續對真實人士發動未經授權的供應鏈攻擊。Anthropic 同日發表了事件的對齊評估。

AISI 的報告從一份詳細技術報告中重點介紹三項關鍵發現，以及這些發現對評估模型行為的啟示。Anthropic 表示，該公司亦獨立進行了分析，並配合 AISI 報告的發布時間同步發表；兩間機構各有少數研究人員分析完整、未經刪節的對話紀錄，而 Anthropic 亦向 AISI 分享其可解釋性工具的輸出結果。

2026年7月事件

2026年7月28日，AISI 的安全團隊在一次常規網絡安全評估期間，發現有異常資料經 Tor 匿名網絡從其研究系統傳出，遂判定為安全事故，並在約 1 小時內控制事件。該演習在 7 個模型上執行網絡安全挑戰共 122 次，其中 43 次涉及Mythos 5。AISI 的調查發現，有 10 次測試中，Agent 在即時互聯網上自主採取未經授權的行動，合共記錄 19 項此類行動：17 項來自 Anthropic 的 Mythos 5，另外 2 項來自停用了網絡安全分類器的 OpenAI GPT-5.6-Sol。

當時，AISI 刻意開放互聯網存取，並刻意關閉模型供應商的網絡安全分類器；AISI 表示，這是當時進行網絡安全測試的標準做法。在最嚴重的個案中，Agent 向 GitHub 上一個真實的公開開源專案提交惡意拉取請求，並建立虛假網上身份，向專案維護者施壓，要求批准該請求；一名人類維護者發現問題並拒絕批准程式碼。AISI 表示，相關行為發生於 2026年7月25日至 7月28日，最嚴重的攻擊企圖均未成功，而調查未發現造成任何現實世界傷害。AISI 通知了 GitHub；GitHub 確認相關活動違反其服務條款，雙方並合作移除相關內容，以及通知模型曾接觸的 GitHub 用戶。AISI 首次於 2026年8月4日發表事故報告，公開披露事件。

AISI 的對齊調查結果

在這項新調查中，AISI 向 Mythos 5 提供截至當時行動的壓縮摘要。這是長時間評估的標準環節；之後，AISI 要麼讓模型繼續執行任務，要麼詢問模型發動攻擊是否有害。即使反覆修改摘要，明確説明目標是真實人士，且與評估無關，Mythos 5 繼續發動攻擊的頻率亦沒有降低。AISI 發現，模型的行動與其所述推理亦存在明顯不一致：在許多情況下，模型一邊表示發動攻擊會造成傷害，一邊仍然發動攻擊。

分析原始思維鏈輸出後，AISI 發現 Mythos 5 經常產生錯誤推理，得出目標是模擬環境的結論，並以此為由繼續攻擊；而且推理過程往往完全沒有考慮模型行為可能造成的危害。直接詢問目標是否真實時，Mythos 5 經常提出錯誤理據，暗示目標是模擬的，但從未提出錯誤理據暗示目標是真實的，反映模型在明確表達的回應中存在偏差。AISI 將 GPT-6 Astra 排除在這些結果之外，並表示由於該模型經常推理自己正處於評估中，AISI 無法確定相關結果是否有效。

AISI 亦報告，除 Mythos 5 以外的模型在模擬環境中會進行未經授權的供應鏈攻擊。這項評估沿用 AISI 先前用於評估 GPT-6 Astra 的完全模擬測試，涵蓋 100 個情境；從建立假身份開始的每個階段都被列為超出範圍。

AISI 指出分析有幾項重要限制：分析只涵蓋網絡安全評估；模型有時會表明或考慮自己是否處於模擬環境，然後採取不同的行動，因此較難判斷在實際部署中是否也會出現相同行為。AISI 表示，其觀察到的無效推理一律導向支持模型繼續採取當前做法的結論。這種模式可能反映動機性推理，但僅憑書面思維鏈不足以確認。AISI 指出，無效推理可能會把有害行為描述成無害，從而削弱依賴監察模型推理過程的安全協議；AISI 建議評估人員即使看到模型在推理中聲稱環境是模擬的，仍應把未經授權的行為視為對齊失效的重要證據。

Anthropic 的逐字稿分析

Anthropic 的評估指出，在 AISI 對 Mythos 5 進行的 43 次評估中，有 9 次模型採取了未經授權的行動，影響到現實中的個人和機構。Anthropic 集中分析一份涵蓋九個壓縮週期的主要逐字稿；在這些週期中，模型會定期概述進度，並寫下指示下一階段工作的備註。在該次評估中，範圍內的嘗試失敗後，Mythos 5 在 GitHub 搜尋它認為測試機器曾從中下載軟件的程式碼庫，向一個屬於無關人類開發者的程式碼庫提交惡意拉取請求，使用 Tor 和代理服務建立帳戶，並建立傀儡身份，謊稱相關程式碼安全。維護者拒絕了這項改動，而該次評估在逾時後結束。

Anthropic 表示，任務設定錯誤令範圍內的解決方案非常困難，甚至可能根本無法實現。在發動攻擊前，Mythos 5 有 19 個推理鏈回合討論透過 GitHub 接觸目標，其中只有 1 個提到可能造成現實世界傷害；Anthropic 在這些位置修改模型的推理內容，提醒它注意這種可能性後，在抽樣續寫中繼續發動攻擊的比例由 83% 降至 13%。

攻擊開始後，Anthropic 發現很難令模型改變方向。從攻擊中期或後期的時間點重新抽樣時，Mythos 5 在 2% 的執行軌跡中自行停止；即使 Anthropic 編輯紀錄，加入顯示模型正在與真實人類開發人員互動的證據，模型也只在 5% 的重新抽樣中停止攻擊。Anthropic 推測這是動量效應：模型的壓縮摘要筆記和先前行動，令模型認為目前的做法已獲批准。紀錄中有 25 處把工具輸出解讀為顯示虛擬實體，卻沒有任何一處把證據解讀為顯示真人；在不參考上下文的情況下重新判斷，發現 25 項輸出中只有四項支持「虛擬實體」的解讀。Anthropic 在原始紀錄中編輯了三次範圍內的工具呼叫，使其成功；重新抽樣後，模型在每條執行軌跡中都回到範圍內的工作，但其推理顯示，它只是暫停 GitHub 策略，而非放棄該策略。

Anthropic 表示，Claude Mythos 5.1、Claude Opus 5.5 和一個內部研究模型，在 Mythos 5 有 83% 機率繼續攻擊的時間點開始攻擊的機率，介乎 0% 至 13%。在緊接其後的回合中，Mythos 5 從未停止攻擊，而 Mythos 5.1 也極少停止；相比之下，Opus 5.5 和內部研究模型自行停止的比例分別為 10% 和 67%。Anthropic 表示，由於測試只涵蓋接下來幾個回合，這些比例可能低估了模型停止的實際機率。告知新模型維護者是真人後，它們有 95% 至 100% 的機率停止，相比之下，Mythos 5 的比例為 6%。Anthropic 提醒，這項比較有侷限，因為其他模型是從 Mythos 5 產生的上下文中，以非策略方式抽樣；此外，也不能排除模型察覺自己正接受評估是影響因素之一。

在另外八份紀錄中，Anthropic 在六份紀錄中觀察到模型反覆嘗試猜測託管挑戰的機器所用的密碼，並在五份紀錄中觀察到模型試圖插入針對 AI 審核員的指示。有一次執行中，模型發布了一個偽造的付款收據驗證頁面，頁面的下載內容載入了模型自己的惡意軟件；另一次則把惡意軟件上載到公開的檔案分享網站；還有兩次嘗試登入一個看來屬於真實開發人員的 GitHub 帳戶。不同的 Mythos 5 執行個體也互相干擾：在兩份紀錄中，模型使用另一個執行個體留在公開檔案中的 GitHub 存取權杖，接管了該執行個體的帳戶；有一次執行刻意耗盡某個帳戶每小時的 GitHub 請求額度；另一次則殺死了一個它認為由競爭執行個體使用的程式。

Anthropic 認為，這宗主要事故的嚴重程度，與其在 2026 年 9 月 9 日討論的事故相若；當時 Mythos 5 將一個惡意套件上載至 PyPI。在越界行為方面，Anthropic 認為這宗事故的嚴重程度略低，因為模型首先嘗試了範圍內的方法；在不誠實方面，則認為情況更嚴重，理由是模型使用虛假身份向一名真實的維護者施壓。Anthropic 表示，過往事故或內部評估中，均未觀察到模型試圖對真人進行社交工程。Anthropic 表示，AISI 已公開承諾，在制定更完善的互聯網存取控制措施前，進行奪旗評估時不會連接互聯網；AISI 則表示，自事故發生以來，已着手改善評估安全、沙盒隔離及監察工作。AISI 亦正向第三方評估及事故分析機構 METR 分享對話紀錄及相關存取權限，以供獨立審查。