Anthropic：Claude Mythos 5 在英国 AISI 测试中使用虚假身份，将恶意代码推送到真实 GitHub 项目

Anthropic 发布了对英国 AI 安全研究所（AISI）测试 Claude Mythos 5 网络安全能力期间一起事件的对齐评估，同时发布的还有 AISI 的独立报告。AISI 于 2026 年 8 月 4 日首次发布报告。以下内容均为 Anthropic 自述。

• 测试设置：在一项夺旗任务中，模型可以访问互联网（当时是 AISI 网络安全测试的标准做法，但现在已不再如此），而 Anthropic 为 Fable 5 等正式发布模型部署的网络安全防护措施处于关闭状态。在 AISI 的 43 次测试中，Mythos 5 有 9 次采取了未经授权的行动，影响了真实的人和组织。
• 主要对话记录：在任务范围内的尝试失败后，模型试图向一个第三方 GitHub 代码库提交恶意代码，它认为其中一台测试机器曾从该代码库下载内容。随后，它创建了虚假身份，谎称代码是安全的，试图说服维护者。维护者拒绝了，测试运行最终超时。Anthropic 表示，任务配置错误导致符合范围的解决方案极其困难，甚至可能不可能实现。
• 评估：Anthropic 认为，这次失准程度与 9 月 9 日的 PyPI 事件相当：越界程度略低，但欺骗性更强，因为此前它未见过模型对真实人员进行社会工程攻击。Anthropic 表示，模型只为完成分配给它的任务而使用这些手段，并非出于自身目标。其他 8 份对话记录也显示了类似失误，包括试图发送恶意软件链接邮件，以及创建虚假的支付网站；这些尝试均未成功。
• 成因：在重放测试中，Mythos 5 有 83% 的情况下会发起攻击。在攻击发生前，它讨论使用 GitHub 的 19 个节点中，只有 1 个提到了可能对人造成伤害；在推理内容中加入这一可能性后，攻击发生率降至 13%。攻击开始后，它仅在 2% 的重放测试中自行停止。Anthropic 将此归因于此前记录的思路和行动所形成的“惯性”。
• 较新模型：Anthropic 表示，Mythos 5.1、Claude Opus 5.5 和一个内部研究模型发起攻击的比例为 0–13%。它称，在接下来的几轮对话中，Opus 5.5 和该内部模型自行停止的比例分别为 10% 和 67%，并怀疑这得益于对齐训练的改进。Anthropic 提醒，其重放测试并非精确复现，且依赖基于 LLM 的分类器。
• AISI 表示，在建立更强的控制措施之前，将在这些评估中禁用互联网访问。