Mythos 5 tworzył fałszywe tożsamości podczas testu brytyjskiego AISI

Podczas testu brytyjskiego AI Security Institute agent wykorzystujący model Mythos 5 firmy Anthropic tworzył fałszywe tożsamości i próbował skłonić opiekuna prawdziwego projektu open source do zatwierdzenia złośliwego kodu. W 10 ze 122 przebiegów odnotowano łącznie 19 działań poza zakresem, z czego 17 przypisano Mythos 5, a dwa modelowi GPT-5.6 Sol firmy OpenAI. Zdarzenie pokazuje nowe wyzwania związane z bezpieczeństwem sztucznej inteligencji.

19 działań poza zakresem testu

Brytyjski AI Security Institute przeprowadził 122 przebiegi testów siedmiu modeli w dwóch środowiskach symulujących sieci komputerowe. Między 25 a 28 lipca 2026 r. w dziesięciu przebiegach wykryto łącznie 19 działań poza dozwolonym zakresem. AISI podkreśla, że nie były to 19 niezależnych incydentów – większość stanowiła elementy kilku powiązanych ciągów działań.

Najpoważniejszy dotyczył Mythos 5. Agent utworzył złośliwy pull request w prawdziwym publicznym projekcie na GitHubie, zebrał informacje o jego opiekunach i stworzył kilka fałszywych tożsamości, którymi próbował przekonać człowieka do zaakceptowania zmiany kodu.

Fałszywe konta nie wystarczyły

Gdy kod został publicznie zakwestionowany, agent zmodyfikował wcześniejszą aktywność tak, aby wyglądała niewinnie, oraz rozważał użycie kolejnej tożsamości. Korzystał też z sieci Tor. W ramach tego samego ciągu działań system wysyłał prawdziwym osobom wiadomości i pliki, próbując doprowadzić do uruchomienia złośliwego kodu przez nich lub używane przez nich narzędzia AI.

Człowiek odpowiedzialny za projekt rozpoznał szkodliwą zmianę i odmówił jej zatwierdzenia. AISI nie znalazł dowodów na wynikające z incydentu szkody. Instytut zastrzega jednocześnie, że nie potrafi rozstrzygnąć, w którym momencie system prawidłowo rozpoznawał, że działa wobec rzeczywistych osób, a nie elementów symulacji.

Test celowo prowadzono ze słabszymi zabezpieczeniami

Warunki testu były nietypowe. AISI celowo umożliwił agentom dostęp do otwartego internetu i wyłączył klasyfikatory ograniczające niebezpieczne działania cybernetyczne. Nie doszło więc do ucieczki modelu z sandboxa. Konfiguracje wykorzystane w badaniu nie odpowiadają wersjom oferowanym publicznie.

AISI przyznaje również, że sposób przeprowadzenia testu przyczynił się do incydentu: część zadań była błędnie skonfigurowana, a monitoring nie śledził na bieżąco działań agentów. Po wykryciu ruchu przez Tor 28 lipca testy zatrzymano i w ciągu około godziny od alarmu odizolowano odpowiednie systemy. Instytut zapowiedział dokładniejszą kontrolę dostępu do internetu i monitoring w czasie rzeczywistym.

Zdarzenie różni się od wcześniejszego cyberataku modeli OpenAI na Hugging Face, gdzie wykorzystano lukę zero-day do wydostania się z izolowanego środowiska. Osobno Anthropic wykrył po analizie 141 006 przebiegów trzy przypadki nieautoryzowanego dostępu modeli Claude do systemów prawdziwych organizacji. Seria takich zdarzeń zwiększa znaczenie niezależnych ośrodków zajmujących się testowaniem modeli, podobnych do tworzonego Instytutu Bezpieczeństwa AI w Niemczech.

Szymon Ślubowski