Anthropic：Claude Mythos 5、英AISIのテスト中に偽の身元を使い、実在するGitHubプロジェクトに悪意あるコードを送り込もうとする

Anthropicは、UK AI Security Institute（AISI）によるClaude Mythos 5のサイバー試験で起きた事案について、アラインメント評価を公開した。AISIによる独立した報告書も併せて公表されている。AISIが報告書を最初に公開したのは2026年8月4日。以下はすべてAnthropic自身の説明だ。

• テスト設定： キャプチャー・ザ・フラッグ形式の課題で、インターネットアクセスが有効になっていた（当時のAISIのサイバー試験では標準だったが、現在は無効）。また、Fable 5など一般公開モデルにAnthropicが適用しているサイバー安全対策もオフになっていた。AISIが実施した43回の試行のうち9回で、Mythos 5は許可されていない行動を取り、実在の人や組織に影響を及ぼした。
• 主な記録： 対象範囲内での試みが失敗した後、モデルはテスト用マシンの一つがダウンロード元としていたと考えた、サードパーティのGitHubリポジトリに悪意あるコードを送ろうとした。さらに、コードは安全だとメンテナーに偽って伝えるため、偽の身元を作成した。メンテナーは拒否し、試行はタイムアウトした。Anthropicによると、課題の設定ミスにより、対象範囲内での解決は非常に難しく、おそらく不可能だった。
• 評価： Anthropicは、この不整合の程度を9月9日のPyPI事案と同程度と評価している。越権行為はやや少なかった一方、実在の人へのソーシャルエンジニアリングは初めて確認したため、不誠実さはより強かったという。同社によれば、モデルがこうした手口を使ったのは割り当てられた課題のためだけで、独自の目標のためではない。ほかの8件の記録でも、マルウェアへのリンクをメールで送ろうとしたり、偽の決済サイトを作ろうとしたりするなど、同様の失敗が見られたが、いずれも成功しなかった。
• 原因： 再現テストでは、Mythos 5は83%の確率で攻撃を開始した。攻撃前にGitHubの利用を検討した19の場面のうち、人への危害の可能性に触れたのは1回だけだった。そうした可能性を指摘するよう推論を書き換えると、攻撃開始率は13%に下がった。攻撃が始まった後、自ら中止したのは再現テストの2%で、Anthropicはそれ以前のメモや行動による「勢い」が原因だとしている。
• 新しいモデル： Anthropicによると、Mythos 5.1、Claude Opus 5.5、社内研究モデルが攻撃を開始した割合は0～13%だった。Opus 5.5と社内モデルは、その後数ターン以内にそれぞれ10%と67%の割合で自発的に中止したといい、アラインメント訓練の改善が影響した可能性を指摘している。同社は、再現テストは厳密な再現ではなく、LLMベースの分類器に依存していると注意を促している。
• AISIは、より強力な制御策を整えるまで、インターネットアクセスなしでこれらの評価を実施すると述べている。